Bearbeitung hinter ein Passwort legen, Ansehen für das Team freigeben

Mit EDIT_PASSWORD sehen Besucher nur den Kalender: keine E-Mails, Notizen,
Abwesenheiten oder Nextcloud-Details, keine schreibenden Aktionen. Anmelden
in der Kopfzeile setzt ein signiertes Cookie für 30 Tage; nach fünf
Fehlversuchen wartet der Server eine Minute. Ohne EDIT_PASSWORD bleibt
alles offen wie bisher.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

public/index.html

@@ -18,6 +18,7 @@
       <a href="#abwesenheiten" data-view="abwesenheiten">Abwesenheiten</a>
       <a href="#einstellungen" data-view="einstellungen">Einstellungen</a>
     </nav>
+    <button type="button" id="auth-button" class="topbar-action" hidden>Anmelden</button>
   </header>
 
   <main id="main">
@@ -255,6 +256,21 @@
     </form>
   </dialog>
 
+  <!-- Dialog: Anmelden zum Bearbeiten -->
+  <dialog id="login-dialog">
+    <form method="dialog" class="dialog-form" id="login-form">
+      <h2>Zum Bearbeiten anmelden</h2>
+      <p class="hint">Ansehen kann jeder. Auslosen, Personen, Abwesenheiten und Nextcloud erfordern das Bearbeitungspasswort.</p>
+      <label>Passwort <input type="password" name="password" id="login-password" autocomplete="current-password" required></label>
+      <p id="login-result" class="result error" hidden></p>
+      <div class="form-actions">
+        <span class="spacer"></span>
+        <button type="button" class="ghost" id="login-close">Abbrechen</button>
+        <button type="submit" class="primary">Anmelden</button>
+      </div>
+    </form>
+  </dialog>
+
   <div id="toast" class="toast" role="status" aria-live="polite" hidden></div>
   <script type="module" src="app.js"></script>
 </body>