Was ausgeliefert wurde – und wann es belegt warWasausgeliefertwurde–undwannesbelegtwar

Kunden wurden ein eigenes Modul

Eine Organisation kann jetzt die Unternehmen führen, mit denen sie arbeitet – Kontakte, Adressen, ein Aktivitätsprotokoll und ein Wiedervorlagedatum –, ohne dafür die Zeiterfassung oder sonst etwas installieren zu müssen. Wer einen Kunden öffnet, sieht die Projekte, die für ihn laufen, die Stunden, die sie kosten, die Termine, die er gebucht hat, und das Letzte, was jemand mit ihm besprochen hat – zusammengestellt aus den Modulen, die installiert sind. Ein Kunde kann ein Unternehmen oder eine Person sein, und die Finanzfelder fehlen ganz, statt leer zu sein, wenn niemand sie sehen darf.

Phase 4r, Schritte 4r.1–4r.19

Projekte lösten sich von der Zeiterfassung und bekamen eine eigene Oberfläche

Projekte gehören nicht mehr zum Modul Zeiterfassung. Eine Organisation kann festhalten, woran sie arbeitet, wem es gehört und was bis wann fällig ist – mit Meilensteinen, Statusmeldungen, Risiken, Entscheidungen und Dateien auf einer Seite, neben dem Raum und den Aufgabenboards des Projekts. Eine Organisation, die auch die Zeiterfassung nutzt, entscheidet pro Projekt, ob es dort überhaupt erscheint, und wer ein Projekt abschaltet, nimmt keine neuen Stunden mehr darauf an, ohne eine bereits gebuchte zu verlieren. Links, die vor Monaten in einen Raum eingefügt wurden, funktionieren auch nach einer Umbenennung des Projekts noch.

Phase 4q, Schritte 4q.1–4q.17

Eine Agenda für alles, was auf Ihrem Tag liegt

Eine neue Agenda-Ansicht sammelt aus sechs Quellen zugleich, was tatsächlich auf jemandes Tag liegt – Termine, Meilensteine, Abwesenheiten und den Rest –, statt ihn vier Seiten prüfen zu lassen. Termine haben jetzt einen Verantwortlichen und ein Projekt, auf das gebucht wird; ein abgeschlossener Termin bietet die Stunde an, die er gedauert hat; und ein Aufgabenboard kann einem Projekt zugeordnet werden, damit ein Timer, der an einem Eintrag gestartet wird, weiß, worauf er bucht.

Die Tagesleiste auf dem Wochenboard war für diesen Schritt geplant und wurde nicht gebaut; sie ist als zurückgestellt vermerkt, nicht als erledigt.

Phase 4n, Schritte 4n.1–4n.15

Links zwischen Modulen werden zu Karten

Wer einen Link auf einen Board-Eintrag, ein Projekt, eine Person oder einen Zeiteintrag in einen Raum legt, sieht jetzt eine Karte, die ihn beschreibt, statt einer nackten URL – aufgelöst für jede Leserin und jeden Leser nach dem, was sie sehen dürfen. Ein # im Eingabefeld durchsucht sechzehn Arten von Objekten und erwähnt eines davon im Satz. Aufgabenboards wissen jetzt, was sie kosten – Stunden erscheinen am Eintrag, und ein Timer startet von dort –, und Benachrichtigungen aus allen Modulen landen in einem anklickbaren Posteingang.

Phase 4m (Interconnection), Schritte 4m.1–4m.16

Mitarbeiterausweise, teilbar und überprüfbar

Jede Beschäftigte und jeder Beschäftigte erhält einen Ausweis, der aus dem Beschäftigungsverhältnis abgeleitet wird, das an dem abgefragten Tag gilt. Sie können ihn selbst ausfüllen und an einen Kunden schicken, der den Kontakt speichert, ohne sich irgendwo anzumelden. Jeder Ausweis trägt eine Signatur pro Organisation, sodass jemand am Empfang prüfen kann, dass diese Person hier arbeitet und in welcher Position – und am Tag, an dem das Beschäftigungsverhältnis endet, sagt dieselbe Prüfung genau das, ohne dass jemand etwas widerrufen hätte. Eine Führungskraft sieht den Ausweis ihres Teammitglieds, nicht dessen Gehalt.

Wallet-Pässe, der Generator für E-Mail-Signaturen und der Stapeldruck wurden zurückgestellt und sind nicht verfügbar.

Phase 4m (Cards), Schritte 4m.1–4m.15

Der gehostete Dienst bekam eine wiederholbare Bereitstellung

Die gehostete Installation wurde von einer Beschreibung zu einem geskripteten, dokumentierten Verfahren: ein Stack, der sich an einen bestehenden Edge anschließt, Secrets, die erzeugt statt eingefügt werden, die Konfiguration des Objektspeichers aus einer einzigen Quelle gerendert, und ein Runbook, das nach einer tatsächlichen Bereitstellung geschrieben wurde statt nach der Datei. Drei Fehler, die der erste echte Durchlauf aufgedeckt hat, wurden an der Wurzel behoben, und das Verfahren ist in den Runbooks des Repositorys festgehalten.

Sitzungseinträge vom 5. August 2026, `compose/stack.hosted.yaml` und `docs/runbooks/deploy-hosted.md`

Ein Konto, mehrere Organisationen, jede mit eigener Adresse

Bei der Registrierung muss niemand mehr zuerst eine Organisation wählen: Konto, Organisation und erste Mitgliedschaft entstehen zusammen, die Organisation wird nach dem Benutzernamen benannt und in den Einstellungen umbenannt. Jede Organisation hat ihre eigene Adresse, und wer mehreren angehört, wechselt über die Seitenleiste zwischen ihnen, ohne sich neu anzumelden – und sieht in jeder genau das, was diese Mitgliedschaft erlaubt. Sitzungen liegen jetzt in einem Host-only-Cookie, das der Browser keiner anderen Organisation übergibt.

Phase 7b, Schritte 7b.1–7b.10

Die Mandantengrenze wurde prüfbar – und dann geprüft

Die Organisation wird jetzt an einer einzigen Engstelle festgestellt, statt an jeder Aufrufstelle daran zu denken, und eine Anfrage nach dem Objekt einer anderen Organisation wird mit „nicht gefunden“ beantwortet statt mit „verboten“ – denn „verboten“ bestätigt, dass das Objekt existiert. Eine aus der API-Beschreibung erzeugte Testsuite führt jede Operation über die Grenze hinweg aus und prüft, dass alle abgewiesen werden: 203 ausgeführt, 203 abgewiesen. Sie läuft bei jedem Build, sodass eine Regression die Continuous Integration scheitern lässt, statt bei jemandem anzukommen.

Phase 7a, Schritte 7a.1–7a.11

Inhaber, Administratoren und Rollen, die eine Organisation selbst benennt

Jede Organisation hat jetzt genau einen Inhaber – von der Datenbank erzwungen und übertragbar – über einer Stufenfolge aus Administrator und Mitglied. Darauf aufbauend legt eine Organisation eigene Rollen über einen Berechtigungssatz auf Organisationsebene an, und eine Rolle kann nie eine Berechtigung tragen, die ihr Urheber nicht selbst hat. Mitgliederliste, Einladungen, Rollenwechsel und Entfernen liegen jetzt in den Einstellungen der Organisation selbst.

Phase 7c, Schritte 7c.1–7c.6

Eine Steuerungsebene, die Ihre Inhalte nicht lesen kann

Die Oberfläche, die Enclessa-Betreiber nutzen, wurde eine eigene Identität mit eigener Anmeldung, verpflichtendem zweitem Faktor, eigenen Sitzungen und eigenem Audit-Log. Sie kann Organisationen auflisten, Zahlen und Zustände sehen, eine Organisation sperren und eine Löschung einplanen – und sie kann keine Nachricht, keine Datei und keine Personalakte lesen. Erzwungen wird das durch eine Prüfung in der Continuous Integration, die dem Paket der Steuerungsebene verbietet, irgendetwas zu importieren, das Inhalte lesen kann; es scheitert also der Build, nicht erst eine Richtlinienprüfung.

Phase 7d, Schritte 7d.1–7d.9

Ratenlimits, Speicherabrechnung, Aufbewahrung und vollständiger Export

Die Kontrollen, die nach der Unterschrift zählen, nicht bei ihr. Ratenlimits gelten pro Organisation und wachsen mit der Zahl der Plätze, wobei jedes Mitglied auf einen Anteil begrenzt ist, sodass eine außer Kontrolle geratene Integration nicht das Budget aller anderen aufbrauchen kann. Speicher wird pro Organisation erfasst, die Aufbewahrung ist pro Organisation einstellbar, mit einem Standard, der Daten behält, jede Metrik und jede Logzeile trägt die Organisation, zu der sie gehört, und eine Organisation kann jederzeit alles exportieren, was die Plattform für sie hält.

Feinere Aufbewahrung pro Team und pro Kanal sowie der Export des Audit-Logs an ein externes Ziel sind geplante Arbeit und nicht verfügbar.

Phase 7e, Schritte 7e.1–7e.5

Personal: Akten, Organigramm, Onboarding und Offboarding

Jemand kann jetzt eingestellt werden, bevor er ein Konto hat. Das Personalmodul führt Personalakten mit stichtagsbezogener Beschäftigung und Vergütung, Organisationseinheiten, Positionen, Standorte und Kostenstellen samt daraus gezeichnetem Organigramm, Dokumente mit Versionen und Kenntnisnahmen, Änderungsanträge im Self-Service sowie Onboarding- und Offboarding-Abläufe, die die anderen Module steuern. Die Sichtbarkeit der Felder wird über sieben Rollen aufgelöst, sodass eine Führungskraft sieht, was eine Führungskraft sehen darf, und nicht mehr.

Phase 4k, Schritte 4k.1–4k.16

Zeiterfassung: Stempeluhr, Stundenzettel, Freigaben und Abwesenheit

Jemand stempelt ein, macht Pause, stempelt aus und sieht den richtigen Saldo – berechnet aus einem Journal statt in einer Spalte gespeichert, sodass er Zeile für Zeile nachvollziehbar ist. Stunden werden auf das Projekt eines Kunden, eine Tätigkeit, einen Board-Eintrag oder einen Pull Request gebucht; eine Woche wird eingereicht und von der Führungskraft zurückgegeben; Korrekturen ersetzen, statt zu überschreiben; und Urlaub wird gegen einen Anspruch beantragt, der sich erklären lässt. Eine Organisation, die die Zeiterfassung nicht installiert hat, sieht keine Navigation dafür und antwortet auf jede ihrer Routen mit „nicht gefunden“.

Phase 4j, Schritte 4j.1–4j.14

Die Woche, gezeichnet statt aufgelistet

Die Zeiterfassung bekam die vier Ansichten, die sie schon berechnen, aber nicht zeigen konnte: ein Wochenboard, auf dem ein Stundenzettel gezeichnet und gezogen statt in eine Tabelle getippt wird, ein Stundenkonto, das ein Jahr Monat für Monat und Tag für Tag zeigt, einen Abwesenheitsplaner über alle, die die betrachtende Person sehen darf, und eine persönliche Liste dessen, was beantragt wurde und was daraus geworden ist.

Der Abwesenheitsplaner ist nur lesbar – aus Entscheidung, nicht aus Versäumnis.

Phase 4l, Schritte 4l.1–4l.13

Module werden auf einer Seite installiert, konfiguriert und pausiert

Optionale Bereiche sind keine Feature-Flags mehr, sondern installierbare Module. Ein Administrator installiert, pausiert, setzt fort oder deinstalliert auf einer einzigen Katalogseite; jedes Modul erhält eine Einstellungsseite, die aus dem erzeugt wird, was es deklariert; Änderungen werden als Revisionen gespeichert, sodass eine frühere als neue Revision wiederhergestellt statt überschrieben werden kann; und ein deinstalliertes Modul behält seinen Verlauf dreißig Tage, bevor er endgültig gelöscht wird. Ein Modul, das nicht installiert ist, antwortet auf jede seiner Routen mit „nicht gefunden“.

Phasen 4h und 4i, Sitzung vom 4. August 2026

Aufgabenboards, direkt neben dem Gespräch

Eine Entscheidung aus einem Raum wird zu einem Eintrag auf einem Aufgabenboard, wandert durch Spalten, die das Team festgelegt hat, und erscheint als Tabelle, als Board mit Drag-and-drop oder als Roadmap – dieselben Einträge auf drei Arten. Einträge tragen Felder, Zuständige, Schlagwörter, Termine, Kommentare und einen Link zurück in den Raum, aus dem sie kamen, und gespeicherte Ansichten halten fest, wie jemand am liebsten arbeitet.

Phase 4b, Schritte 4b.1–4b.9

GitHub spiegelt ein Projekt auf ein Aufgabenboard

Ein Administrator verbindet GitHub einmal, und ein Aufgabenboard spiegelt ein Projekt: Karten kommen in den Spalten an, die das Team benannt hat, und zeigen jeweils, ob ihr Pull Request gemergt ist und ob ihre Checks grün sind. Zugangsdaten werden versiegelt statt gespeichert, Webhooks werden verifiziert und protokolliert, eine erneute Zustellung ist idempotent, und eine Organisation kann mit einer einzigen Einstellung jeden ausgehenden Schreibzugriff stoppen, ohne ein Board zu trennen oder etwas zu widerrufen.

Eine Synchronisierung gegen eine echte GitHub-Organisation wurde nicht ausgeführt – die Zugangsdaten dafür gibt es auf der Build-Maschine nicht –, daher ist der Connector gegen ein GitHub geprüft, das aktiv ablehnt, nicht gegen eines, das annimmt.

Phase 4c, Schritte 4c.1–4c.9

Bots, eingehende Webhooks und Slash-Befehle

Ein Skript mit einem Token kann als Bot in einen Raum posten, dem es hinzugefügt wurde, ein Build-System kann ganz ohne Konto an eine Webhook-URL senden, und die eingebauten Slash-Befehle funktionieren im Eingabefeld neben eigenen, die eine Organisation gegen ihren eigenen HTTP-Endpunkt registriert. Tokens sind auf benannte Operationen beschränkt, und keiner der drei Wege erreicht die Administrationskonsole.

Phase 4d, Schritte 4d.1–4d.5

Sagen, wann man nicht gestört werden will – und dass es eingehalten wird

Status mit Ablaufzeit, „Nicht stören“, Ruhezeiten und Abwesenheitsnotiz gelten jetzt auch für E-Mail und Push, nicht nur in der Oberfläche. Stichwort-Benachrichtigungen erreichen jemanden bei einem Wort, das ihm wichtig ist, ohne dass sein Name fällt, eigene Gruppen lassen sich gemeinsam erwähnen, eine um Mitternacht geschriebene Nachricht kann für neun Uhr geplant werden, und eine Zusammenfassung verpasster Nachrichten kommt per E-Mail.

Phase 4e, Schritte 4e.1–4e.7

Linkvorschauen, Sprachnachrichten und Suche in Dateien

Ein eingefügter Link erklärt sich, ohne dass jemand ihn anklickt – abgerufen vom Server, geschützt dagegen, auf interne Adressen gelenkt zu werden, nie aus dem Browser der Leserin oder des Lesers. Sprachnachrichten werden aufgenommen, zeigen eine Wellenform und lassen sich direkt abspielen, mathematische Notation wird dargestellt, und eine Datei, die jemand letzten Monat geschickt hat, ist über ein Wort darin auffindbar, nicht nur über ihren Namen.

Phase 4f, Schritte 4f.1–4f.4

Videoanrufe mit Bildschirmfreigabe, Wartebereich und Moderationsrechten

Anrufe laufen in jedem Raum und spontan: eine Bühne mit Kacheln, Geräteauswahl, Bildschirmfreigabe, Chat im Anruf, Reaktionen, gehobene Hände, ein Wartebereich, Moderationsrechte und ein Klingeln bei eingehenden Anrufen. Der Link eines spontanen Anrufs funktioniert auch für jemanden, der nicht angeklingelt wurde. Medien in verschlüsselten Räumen tragen einen Schlüssel, der an die eigene Gruppe des Raums gebunden ist, nicht an einen, den der Medienserver hält, und diese Übergabe wurde zwischen zwei Browsern vorgeführt.

Es wurde noch kein Anruf mit fünfzig Personen geführt. Das Lasttest-Werkzeug existiert, der Test wurde nicht ausgeführt, deshalb veröffentlicht Enclessa keinen gemessenen Wert für die Anrufgröße. Aufzeichnung gibt es für verwaltete Räume, sie erzeugt aber keine herunterladbare Datei.

Phase 4, Schritte 4.1–4.14

Direktnachrichten wurden Ende-zu-Ende-verschlüsselt

Direktnachrichten und Gruppen-Direktnachrichten sind mit MLS Ende-zu-Ende-verschlüsselt, dem als RFC 9420 veröffentlichten IETF-Standard, implementiert mit OpenMLS und einmal in Rust kompiliert, sodass jeder Client identischen kryptografischen Code ausführt. Jedes Gerät ist ein eigenes Mitglied der Gruppe: Ein neues hinzuzufügen ist sichtbar, und wird eines widerrufen, erhält die Unterhaltung neue Schlüssel, sodass es nichts mehr entschlüsseln kann, was danach gesendet wird. Anhänge werden mit der Nachricht verschlüsselt, Geräte sind gegenseitig signiert, beide Seiten berechnen dieselbe Sicherheitsnummer, und die Suche in verschlüsselten Räumen läuft auf dem eigenen Gerät gegen einen lokalen Index, weil der Server nichts zu indexieren hat.

Ein zweites Gerät desselben Nutzers signiert sich noch nicht selbst: Der Identitätsschlüssel bleibt auf dem Gerät, das ihn erzeugt hat, bis die verschlüsselte Schlüsselsicherung eine Oberfläche hat. Die Sicherung selbst ist gebaut.

Phase 2, Schritte 2.1–2.9

Kategorien, eigene Rollen und Berechtigungsüberschreibungen

Ein Team kann ausdrücken, dass ein Bereich für bestimmte Personen ist, dass ein Raum nur gelesen werden kann und dass diese drei alle benachrichtigen dürfen – ohne dass ein Administrator eine Datenbank anfasst. Berechtigungen sind eine Bitmaske, die in der Datenschicht ausgewertet wird statt in der Oberfläche versteckt, Teams benennen darauf eigene Rollen, und Überschreibungen zum Erlauben oder Verweigern gelten pro Kategorie und pro Kanal. Wer in einem öffentlichen Raum ist, ergibt sich aus der Berechtigung, statt von Hand gepflegt zu werden.

Phase 2c, Schritte 2c.1–2c.9

Konfiguration ohne Shell – und ein Weg zurück ins Konto

Ein Betreiber ohne Zugang zur Maschine kann in der Konsole festlegen, wer ein Konto anlegen darf, wie die Installation heißt und wohin ihre E-Mails gehen – wobei gilt, was die Konsole verwaltet, vor dem, was in der Umgebung steht. Registrierung, Einladung, E-Mail-Bestätigung, Zurücksetzen des Passworts und das Ändern des eigenen Passworts funktionieren alle, mit gehashten Einmal-Tokens, sodass auch jemand, der sein Passwort vergessen hat, keinen Administrator braucht.

Phase 2d, Schritte 2d.1–2d.9

Kanäle, Threads, Suche, Dateien und Anwesenheit

Das erste nutzbare Enclessa: Teams, Kanäle und Threads mit Reaktionen, Bearbeiten, Löschen und Erwähnungen; Nachrichten, die live über einen WebSocket ankommen statt erst nach dem Neuladen; Uploads mit Vorschaubildern und einer Prüfung auf Schadsoftware, bevor irgendjemand sie öffnen kann; Volltextsuche über Nachrichten; ein Aktivitäts-Feed mit Benachrichtigungseinstellungen; eine E-Mail-Pipeline; und ein Audit-Log administrativer Aktionen.

Phase 1, Schritte 1.1–1.13

Das Fundament und die Lizenzprüfung

Das erste funktionierende System: das Datenbankschema und seine Migrationen, die API mit einer generierten OpenAPI-Beschreibung, Authentifizierung mit Geräteregister, Telemetrie, die Design-Tokens, aus denen das Produkt gebaut ist, und Continuous Integration – einschließlich der Lizenzprüfung, die den Build scheitern lässt, wenn eine Laufzeitabhängigkeit nicht mehr Open Source unter einer von der OSI anerkannten Lizenz ist.

Phase 0, Schritte 0.1–0.9