chore: initial scaffold (Whitelabel-Fork von Pfandsystem)

- Source-Copy von /root/entwicklung/pfandsystem - docker-compose.yml umgeschrieben: pfandsystem-demo-* Container, Ports 3308/8083/3003 (alle localhost) - Traefik-Label fuer pfandsystem.dockly.de - Erweitertes Multi-Tenant-Schema (tenants, tenant_id auf allen Tabellen) - Neue Tabellen: kunden_bilder, geraete - Neue Spalten: kunden.anlieferungshinweis, kunden.lieferzeit_bis - Rollen: superadmin, admin, user, fahrer - .env.example + README Code-Refactor (Tailwind, Multi-Tenant-Middleware, Erweiterungen) folgt.
2026-05-26 12:39:17 +00:00
commit d86c898455
82 changed files with 15771 additions and 0 deletions
--- a/backend/.env.example
+++ b/backend/.env.example
@@ -0,0 +1,20 @@
+# Database
+DB_HOST=mysql
+DB_PORT=3306
+DB_USER=pfandsystem
+DB_PASSWORD=pfandsystem_secure_password
+DB_NAME=pfandsystem
+
+# JWT
+JWT_SECRET=your_very_secure_jwt_secret_key_change_this
+
+# Server
+PORT=3001
+NODE_ENV=production
+
+# Resend API
+RESEND_API_KEY=re_6BE6Hv6U_H7ggkAT4ApbiSZ5SCo2Cf1qA
+
+# File Upload
+UPLOAD_DIR=/app/uploads
+MAX_FILE_SIZE=10485760
--- a/backend/Dockerfile
+++ b/backend/Dockerfile
@@ -0,0 +1,21 @@
+FROM node:20-alpine
+
+WORKDIR /app
+
+# Installiere Dependencies
+COPY package*.json ./
+RUN npm install --production
+
+# Kopiere Source-Code
+COPY . .
+
+# Erstelle Upload-Verzeichnis
+RUN mkdir -p /app/uploads && chmod 777 /app/uploads
+
+EXPOSE 3001
+
+# Healthcheck
+HEALTHCHECK --interval=10s --timeout=3s --start-period=30s --retries=3 \
+  CMD node -e "require('http').get('http://localhost:3001/health', (r) => {process.exit(r.statusCode === 200 ? 0 : 1)})"
+
+CMD ["node", "server.js"]
--- a/backend/config/database.js
+++ b/backend/config/database.js
@@ -0,0 +1,29 @@
+import mysql from 'mysql2/promise';
+import dotenv from 'dotenv';
+
+dotenv.config();
+
+const pool = mysql.createPool({
+  host: process.env.DB_HOST || 'mysql',
+  port: process.env.DB_PORT || 3306,
+  user: process.env.DB_USER || 'pfandsystem',
+  password: process.env.DB_PASSWORD || 'pfandsystem_secure_password',
+  database: process.env.DB_NAME || 'pfandsystem',
+  waitForConnections: true,
+  connectionLimit: 10,
+  queueLimit: 0,
+  enableKeepAlive: true,
+  keepAliveInitialDelay: 0
+});
+
+// Test connection
+pool.getConnection()
+  .then(connection => {
+    console.log('✅ MySQL Datenbankverbindung erfolgreich');
+    connection.release();
+  })
+  .catch(err => {
+    console.error('❌ MySQL Verbindungsfehler:', err.message);
+  });
+
+export default pool;
--- a/backend/database/SCHEMA_MOVED.md
+++ b/backend/database/SCHEMA_MOVED.md
@@ -0,0 +1 @@
+-- siehe /database/schema.sql (top-level)
--- a/backend/middleware/auth.js
+++ b/backend/middleware/auth.js
@@ -0,0 +1,32 @@
+import jwt from 'jsonwebtoken';
+
+export const authenticateToken = (req, res, next) => {
+  const authHeader = req.headers['authorization'];
+  const token = authHeader && authHeader.split(' ')[1]; // Bearer TOKEN
+
+  if (!token) {
+    return res.status(401).json({ error: 'Kein Token bereitgestellt' });
+  }
+
+  jwt.verify(token, process.env.JWT_SECRET, (err, user) => {
+    if (err) {
+      return res.status(403).json({ error: 'Ungültiger oder abgelaufener Token' });
+    }
+    req.user = user;
+    next();
+  });
+};
+
+export const requireRole = (roles) => {
+  return (req, res, next) => {
+    if (!req.user) {
+      return res.status(401).json({ error: 'Nicht authentifiziert' });
+    }
+    
+    if (!roles.includes(req.user.rolle)) {
+      return res.status(403).json({ error: 'Keine Berechtigung' });
+    }
+    
+    next();
+  };
+};
--- a/backend/middleware/upload.js
+++ b/backend/middleware/upload.js
@@ -0,0 +1,46 @@
+import multer from 'multer';
+import path from 'path';
+import { fileURLToPath } from 'url';
+import fs from 'fs';
+
+const __filename = fileURLToPath(import.meta.url);
+const __dirname = path.dirname(__filename);
+
+// Upload-Verzeichnis erstellen, falls nicht vorhanden
+const uploadDir = process.env.UPLOAD_DIR || path.join(__dirname, '../uploads');
+if (!fs.existsSync(uploadDir)) {
+  fs.mkdirSync(uploadDir, { recursive: true });
+}
+
+// Multer-Konfiguration
+const storage = multer.diskStorage({
+  destination: (req, file, cb) => {
+    cb(null, uploadDir);
+  },
+  filename: (req, file, cb) => {
+    const uniqueSuffix = Date.now() + '-' + Math.round(Math.random() * 1E9);
+    const ext = path.extname(file.originalname);
+    cb(null, `foto-${uniqueSuffix}${ext}`);
+  }
+});
+
+const fileFilter = (req, file, cb) => {
+  // Nur Bilder erlauben
+  const allowedTypes = /jpeg|jpg|png|gif|webp/;
+  const extname = allowedTypes.test(path.extname(file.originalname).toLowerCase());
+  const mimetype = allowedTypes.test(file.mimetype);
+
+  if (mimetype && extname) {
+    return cb(null, true);
+  } else {
+    cb(new Error('Nur Bilddateien sind erlaubt (JPEG, PNG, GIF, WebP)'));
+  }
+};
+
+export const upload = multer({
+  storage: storage,
+  limits: {
+    fileSize: parseInt(process.env.MAX_FILE_SIZE) || 10 * 1024 * 1024 // 10MB default
+  },
+  fileFilter: fileFilter
+});
--- a/backend/package-lock.json
+++ b/backend/package-lock.json
--- a/backend/package.json
+++ b/backend/package.json
@@ -0,0 +1,25 @@
+{
+  "name": "pfandsystem-backend",
+  "version": "1.0.0",
+  "type": "module",
+  "description": "Backend API für Pfandsystem mit MySQL",
+  "main": "server.js",
+  "scripts": {
+    "start": "node server.js",
+    "dev": "nodemon server.js"
+  },
+  "dependencies": {
+    "express": "^4.18.2",
+    "mysql2": "^3.6.5",
+    "bcrypt": "^5.1.1",
+    "jsonwebtoken": "^9.0.2",
+    "cors": "^2.8.5",
+    "dotenv": "^16.3.1",
+    "multer": "^1.4.5-lts.1",
+    "resend": "^3.0.0",
+    "express-validator": "^7.0.1"
+  },
+  "devDependencies": {
+    "nodemon": "^3.0.2"
+  }
+}
--- a/backend/routes/artikel.js
+++ b/backend/routes/artikel.js
@@ -0,0 +1,116 @@
+import express from 'express';
+import { body, validationResult } from 'express-validator';
+import pool from '../config/database.js';
+import { authenticateToken } from '../middleware/auth.js';
+
+const router = express.Router();
+
+// Alle Routen erfordern Authentifizierung
+router.use(authenticateToken);
+
+// GET alle Artikel
+router.get('/', async (req, res) => {
+  try {
+    const [rows] = await pool.query(
+      'SELECT * FROM artikel ORDER BY bezeichnung ASC'
+    );
+    res.json(rows);
+  } catch (error) {
+    console.error('Fehler beim Abrufen der Artikel:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// GET einzelner Artikel
+router.get('/:id', async (req, res) => {
+  try {
+    const [rows] = await pool.query(
+      'SELECT * FROM artikel WHERE id = ?',
+      [req.params.id]
+    );
+
+    if (rows.length === 0) {
+      return res.status(404).json({ error: 'Artikel nicht gefunden' });
+    }
+
+    res.json(rows[0]);
+  } catch (error) {
+    console.error('Fehler beim Abrufen des Artikels:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// POST neuer Artikel
+router.post('/', [
+  body('bezeichnung').notEmpty().trim(),
+  body('pfand_betrag').isFloat({ min: 0 })
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { bezeichnung, pfand_betrag } = req.body;
+
+  try {
+    const [result] = await pool.query(
+      'INSERT INTO artikel (bezeichnung, pfand_betrag) VALUES (?, ?)',
+      [bezeichnung, pfand_betrag]
+    );
+
+    const [newArtikel] = await pool.query('SELECT * FROM artikel WHERE id = ?', [result.insertId]);
+    res.status(201).json(newArtikel[0]);
+  } catch (error) {
+    console.error('Fehler beim Anlegen des Artikels:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// PUT Artikel aktualisieren
+router.put('/:id', [
+  body('bezeichnung').notEmpty().trim(),
+  body('pfand_betrag').isFloat({ min: 0 })
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { bezeichnung, pfand_betrag } = req.body;
+
+  try {
+    await pool.query(
+      'UPDATE artikel SET bezeichnung = ?, pfand_betrag = ? WHERE id = ?',
+      [bezeichnung, pfand_betrag, req.params.id]
+    );
+
+    const [updated] = await pool.query('SELECT * FROM artikel WHERE id = ?', [req.params.id]);
+    
+    if (updated.length === 0) {
+      return res.status(404).json({ error: 'Artikel nicht gefunden' });
+    }
+
+    res.json(updated[0]);
+  } catch (error) {
+    console.error('Fehler beim Aktualisieren des Artikels:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// DELETE Artikel
+router.delete('/:id', async (req, res) => {
+  try {
+    const [result] = await pool.query('DELETE FROM artikel WHERE id = ?', [req.params.id]);
+
+    if (result.affectedRows === 0) {
+      return res.status(404).json({ error: 'Artikel nicht gefunden' });
+    }
+
+    res.json({ message: 'Artikel erfolgreich gelöscht' });
+  } catch (error) {
+    console.error('Fehler beim Löschen des Artikels:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+export default router;
--- a/backend/routes/auth.js
+++ b/backend/routes/auth.js
@@ -0,0 +1,178 @@
+import express from 'express';
+import bcrypt from 'bcrypt';
+import jwt from 'jsonwebtoken';
+import { body, validationResult } from 'express-validator';
+import pool from '../config/database.js';
+import { authenticateToken } from '../middleware/auth.js';
+
+const router = express.Router();
+
+// Login
+router.post('/login', [
+  body('email').isEmail().normalizeEmail(),
+  body('password').notEmpty()
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { email, password } = req.body;
+
+  try {
+    const [rows] = await pool.query(
+      'SELECT * FROM mitarbeiter WHERE email = ?',
+      [email]
+    );
+
+    if (rows.length === 0) {
+      return res.status(401).json({ error: 'Ungültige Anmeldedaten' });
+    }
+
+    const mitarbeiter = rows[0];
+    const validPassword = await bcrypt.compare(password, mitarbeiter.password_hash);
+
+    if (!validPassword) {
+      return res.status(401).json({ error: 'Ungültige Anmeldedaten' });
+    }
+
+    const token = jwt.sign(
+      { 
+        id: mitarbeiter.id, 
+        email: mitarbeiter.email, 
+        rolle: mitarbeiter.rolle,
+        name: mitarbeiter.name
+      },
+      process.env.JWT_SECRET,
+      { expiresIn: '24h' }
+    );
+
+    res.json({
+      token,
+      user: {
+        id: mitarbeiter.id,
+        email: mitarbeiter.email,
+        name: mitarbeiter.name,
+        rolle: mitarbeiter.rolle
+      }
+    });
+  } catch (error) {
+    console.error('Login-Fehler:', error);
+    res.status(500).json({ error: 'Serverfehler beim Login' });
+  }
+});
+
+// Register (nur für Admin)
+router.post('/register', authenticateToken, [
+  body('email').isEmail().normalizeEmail(),
+  body('password').isLength({ min: 6 }),
+  body('name').notEmpty(),
+  body('rolle').isIn(['user', 'admin'])
+], async (req, res) => {
+  // Nur Admins dürfen neue Benutzer anlegen
+  if (req.user.rolle !== 'admin') {
+    return res.status(403).json({ error: 'Keine Berechtigung' });
+  }
+
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { email, password, name, rolle } = req.body;
+
+  try {
+    // Prüfe ob Email bereits existiert
+    const [existing] = await pool.query(
+      'SELECT id FROM mitarbeiter WHERE email = ?',
+      [email]
+    );
+
+    if (existing.length > 0) {
+      return res.status(400).json({ error: 'Email bereits registriert' });
+    }
+
+    const passwordHash = await bcrypt.hash(password, 10);
+
+    const [result] = await pool.query(
+      'INSERT INTO mitarbeiter (email, password_hash, name, rolle) VALUES (?, ?, ?, ?)',
+      [email, passwordHash, name, rolle]
+    );
+
+    res.status(201).json({
+      message: 'Mitarbeiter erfolgreich angelegt',
+      id: result.insertId
+    });
+  } catch (error) {
+    console.error('Registrierungs-Fehler:', error);
+    res.status(500).json({ error: 'Serverfehler bei der Registrierung' });
+  }
+});
+
+// Get current user
+router.get('/me', authenticateToken, async (req, res) => {
+  try {
+    const [rows] = await pool.query(
+      'SELECT id, email, name, rolle, erstellt_am FROM mitarbeiter WHERE id = ?',
+      [req.user.id]
+    );
+
+    if (rows.length === 0) {
+      return res.status(404).json({ error: 'Benutzer nicht gefunden' });
+    }
+
+    res.json(rows[0]);
+  } catch (error) {
+    console.error('Fehler beim Abrufen des Benutzers:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// Change password
+router.post('/change-password', authenticateToken, [
+  body('currentPassword').notEmpty(),
+  body('newPassword').isLength({ min: 6 })
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { currentPassword, newPassword } = req.body;
+
+  try {
+    // Hole aktuellen Benutzer
+    const [rows] = await pool.query(
+      'SELECT * FROM mitarbeiter WHERE id = ?',
+      [req.user.id]
+    );
+
+    if (rows.length === 0) {
+      return res.status(404).json({ error: 'Benutzer nicht gefunden' });
+    }
+
+    const mitarbeiter = rows[0];
+
+    // Prüfe aktuelles Passwort
+    const validPassword = await bcrypt.compare(currentPassword, mitarbeiter.password_hash);
+    if (!validPassword) {
+      return res.status(401).json({ error: 'Aktuelles Passwort ist falsch' });
+    }
+
+    // Hash neues Passwort
+    const newPasswordHash = await bcrypt.hash(newPassword, 10);
+
+    // Update Passwort
+    await pool.query(
+      'UPDATE mitarbeiter SET password_hash = ? WHERE id = ?',
+      [newPasswordHash, req.user.id]
+    );
+
+    res.json({ message: 'Passwort erfolgreich geändert' });
+  } catch (error) {
+    console.error('Fehler beim Ändern des Passworts:', error);
+    res.status(500).json({ error: 'Serverfehler beim Ändern des Passworts' });
+  }
+});
+
+export default router;
--- a/backend/routes/kunden.js
+++ b/backend/routes/kunden.js
@@ -0,0 +1,126 @@
+import express from 'express';
+import { body, validationResult } from 'express-validator';
+import pool from '../config/database.js';
+import { authenticateToken } from '../middleware/auth.js';
+
+const router = express.Router();
+
+// Alle Routen erfordern Authentifizierung
+router.use(authenticateToken);
+
+// GET alle Kunden
+router.get('/', async (req, res) => {
+  try {
+    const [rows] = await pool.query(
+      'SELECT * FROM kunden ORDER BY name ASC'
+    );
+    res.json(rows);
+  } catch (error) {
+    console.error('Fehler beim Abrufen der Kunden:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// GET einzelner Kunde
+router.get('/:id', async (req, res) => {
+  try {
+    const [rows] = await pool.query(
+      'SELECT * FROM kunden WHERE id = ?',
+      [req.params.id]
+    );
+
+    if (rows.length === 0) {
+      return res.status(404).json({ error: 'Kunde nicht gefunden' });
+    }
+
+    res.json(rows[0]);
+  } catch (error) {
+    console.error('Fehler beim Abrufen des Kunden:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// POST neuer Kunde
+router.post('/', [
+  body('name').notEmpty().trim(),
+  body('email').optional().isEmail().normalizeEmail(),
+  body('telefon').optional().trim(),
+  body('adresse').optional().trim(),
+  body('ansprechpartner').optional().trim(),
+  body('notiz').optional().trim(),
+  body('anrede').optional().isIn(['Herr', 'Frau', 'Firma', ''])
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { name, email, telefon, adresse, ansprechpartner, notiz, anrede } = req.body;
+
+  try {
+    const [result] = await pool.query(
+      'INSERT INTO kunden (name, email, telefon, adresse, ansprechpartner, notiz, anrede) VALUES (?, ?, ?, ?, ?, ?, ?)',
+      [name, email || null, telefon || null, adresse || null, ansprechpartner || null, notiz || null, anrede || null]
+    );
+
+    const [newKunde] = await pool.query('SELECT * FROM kunden WHERE id = ?', [result.insertId]);
+    res.status(201).json(newKunde[0]);
+  } catch (error) {
+    console.error('Fehler beim Anlegen des Kunden:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// PUT Kunde aktualisieren
+router.put('/:id', [
+  body('name').notEmpty().trim(),
+  body('email').optional().isEmail().normalizeEmail(),
+  body('telefon').optional().trim(),
+  body('adresse').optional().trim(),
+  body('ansprechpartner').optional().trim(),
+  body('notiz').optional().trim(),
+  body('anrede').optional().isIn(['Herr', 'Frau', 'Firma', ''])
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { name, email, telefon, adresse, ansprechpartner, notiz, anrede } = req.body;
+
+  try {
+    await pool.query(
+      'UPDATE kunden SET name = ?, email = ?, telefon = ?, adresse = ?, ansprechpartner = ?, notiz = ?, anrede = ? WHERE id = ?',
+      [name, email || null, telefon || null, adresse || null, ansprechpartner || null, notiz || null, anrede || null, req.params.id]
+    );
+
+    const [updated] = await pool.query('SELECT * FROM kunden WHERE id = ?', [req.params.id]);
+    
+    if (updated.length === 0) {
+      return res.status(404).json({ error: 'Kunde nicht gefunden' });
+    }
+
+    res.json(updated[0]);
+  } catch (error) {
+    console.error('Fehler beim Aktualisieren des Kunden:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// DELETE Kunde
+router.delete('/:id', async (req, res) => {
+  try {
+    const [result] = await pool.query('DELETE FROM kunden WHERE id = ?', [req.params.id]);
+
+    if (result.affectedRows === 0) {
+      return res.status(404).json({ error: 'Kunde nicht gefunden' });
+    }
+
+    res.json({ message: 'Kunde erfolgreich gelöscht' });
+  } catch (error) {
+    console.error('Fehler beim Löschen des Kunden:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+export default router;
--- a/backend/routes/lieferungen.js
+++ b/backend/routes/lieferungen.js
@@ -0,0 +1,116 @@
+import express from 'express';
+import { body, validationResult } from 'express-validator';
+import pool from '../config/database.js';
+import { authenticateToken } from '../middleware/auth.js';
+import { upload } from '../middleware/upload.js';
+
+const router = express.Router();
+
+// Alle Routen erfordern Authentifizierung
+router.use(authenticateToken);
+
+// GET alle Lieferungen
+router.get('/', async (req, res) => {
+  try {
+    const [rows] = await pool.query(`
+      SELECT 
+        l.*,
+        k.name as kunde_name,
+        a.bezeichnung as artikel_bezeichnung,
+        a.pfand_betrag,
+        m.name as mitarbeiter_name
+      FROM lieferungen l
+      LEFT JOIN kunden k ON l.kunde_id = k.id
+      LEFT JOIN artikel a ON l.artikel_id = a.id
+      LEFT JOIN mitarbeiter m ON l.mitarbeiter_id = m.id
+      ORDER BY l.erstellt_am DESC
+    `);
+    res.json(rows);
+  } catch (error) {
+    console.error('Fehler beim Abrufen der Lieferungen:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// GET Lieferungen nach Kunde
+router.get('/kunde/:kunde_id', async (req, res) => {
+  try {
+    const [rows] = await pool.query(`
+      SELECT 
+        l.*,
+        k.name as kunde_name,
+        a.bezeichnung as artikel_bezeichnung,
+        a.pfand_betrag,
+        m.name as mitarbeiter_name
+      FROM lieferungen l
+      LEFT JOIN kunden k ON l.kunde_id = k.id
+      LEFT JOIN artikel a ON l.artikel_id = a.id
+      LEFT JOIN mitarbeiter m ON l.mitarbeiter_id = m.id
+      WHERE l.kunde_id = ?
+      ORDER BY l.erstellt_am DESC
+    `, [req.params.kunde_id]);
+    res.json(rows);
+  } catch (error) {
+    console.error('Fehler beim Abrufen der Lieferungen:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// POST neue Lieferung (mit optionalem Foto)
+router.post('/', upload.single('foto'), [
+  body('kunde_id').notEmpty(),
+  body('artikel_id').notEmpty(),
+  body('anzahl').isInt({ min: 1 })
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { kunde_id, artikel_id, anzahl } = req.body;
+  const foto_url = req.file ? `/uploads/${req.file.filename}` : null;
+
+  try {
+    const [result] = await pool.query(
+      'INSERT INTO lieferungen (kunde_id, artikel_id, anzahl, foto_url, mitarbeiter_id) VALUES (?, ?, ?, ?, ?)',
+      [kunde_id, artikel_id, anzahl, foto_url, req.user.id]
+    );
+
+    const [newLieferung] = await pool.query(`
+      SELECT 
+        l.*,
+        k.name as kunde_name,
+        a.bezeichnung as artikel_bezeichnung,
+        a.pfand_betrag,
+        m.name as mitarbeiter_name
+      FROM lieferungen l
+      LEFT JOIN kunden k ON l.kunde_id = k.id
+      LEFT JOIN artikel a ON l.artikel_id = a.id
+      LEFT JOIN mitarbeiter m ON l.mitarbeiter_id = m.id
+      WHERE l.id = ?
+    `, [result.insertId]);
+
+    res.status(201).json(newLieferung[0]);
+  } catch (error) {
+    console.error('Fehler beim Anlegen der Lieferung:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// DELETE Lieferung
+router.delete('/:id', async (req, res) => {
+  try {
+    const [result] = await pool.query('DELETE FROM lieferungen WHERE id = ?', [req.params.id]);
+
+    if (result.affectedRows === 0) {
+      return res.status(404).json({ error: 'Lieferung nicht gefunden' });
+    }
+
+    res.json({ message: 'Lieferung erfolgreich gelöscht' });
+  } catch (error) {
+    console.error('Fehler beim Löschen der Lieferung:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+export default router;
--- a/backend/routes/mitarbeiter.js
+++ b/backend/routes/mitarbeiter.js
@@ -0,0 +1,126 @@
+import express from 'express';
+import { body, validationResult } from 'express-validator';
+import pool from '../config/database.js';
+import { authenticateToken, requireRole } from '../middleware/auth.js';
+
+const router = express.Router();
+
+// Alle Routen erfordern Authentifizierung
+router.use(authenticateToken);
+
+// GET alle Mitarbeiter (nur Admin)
+router.get('/', requireRole(['admin']), async (req, res) => {
+  try {
+    const [rows] = await pool.query(
+      'SELECT id, email, name, rolle, erstellt_am FROM mitarbeiter ORDER BY name ASC'
+    );
+    res.json(rows);
+  } catch (error) {
+    console.error('Fehler beim Abrufen der Mitarbeiter:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// GET einzelner Mitarbeiter
+router.get('/:id', async (req, res) => {
+  try {
+    const [rows] = await pool.query(
+      'SELECT id, email, name, rolle, erstellt_am FROM mitarbeiter WHERE id = ?',
+      [req.params.id]
+    );
+
+    if (rows.length === 0) {
+      return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
+    }
+
+    res.json(rows[0]);
+  } catch (error) {
+    console.error('Fehler beim Abrufen des Mitarbeiters:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// PUT Mitarbeiter aktualisieren (nur Admin oder eigener Account)
+router.put('/:id', [
+  body('name').optional().trim(),
+  body('rolle').optional().isIn(['user', 'admin'])
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  // Nur Admin darf andere Mitarbeiter bearbeiten oder Rollen ändern
+  if (req.params.id !== req.user.id && req.user.rolle !== 'admin') {
+    return res.status(403).json({ error: 'Keine Berechtigung' });
+  }
+
+  // Nur Admin darf Rollen ändern
+  if (req.body.rolle && req.user.rolle !== 'admin') {
+    return res.status(403).json({ error: 'Keine Berechtigung zum Ändern der Rolle' });
+  }
+
+  const { name, rolle } = req.body;
+  const updates = [];
+  const values = [];
+
+  if (name) {
+    updates.push('name = ?');
+    values.push(name);
+  }
+
+  if (rolle && req.user.rolle === 'admin') {
+    updates.push('rolle = ?');
+    values.push(rolle);
+  }
+
+  if (updates.length === 0) {
+    return res.status(400).json({ error: 'Keine Änderungen angegeben' });
+  }
+
+  values.push(req.params.id);
+
+  try {
+    await pool.query(
+      `UPDATE mitarbeiter SET ${updates.join(', ')} WHERE id = ?`,
+      values
+    );
+
+    const [updated] = await pool.query(
+      'SELECT id, email, name, rolle, erstellt_am FROM mitarbeiter WHERE id = ?',
+      [req.params.id]
+    );
+
+    if (updated.length === 0) {
+      return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
+    }
+
+    res.json(updated[0]);
+  } catch (error) {
+    console.error('Fehler beim Aktualisieren des Mitarbeiters:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// DELETE Mitarbeiter (nur Admin)
+router.delete('/:id', requireRole(['admin']), async (req, res) => {
+  // Verhindere Selbstlöschung
+  if (req.params.id === req.user.id) {
+    return res.status(400).json({ error: 'Sie können sich nicht selbst löschen' });
+  }
+
+  try {
+    const [result] = await pool.query('DELETE FROM mitarbeiter WHERE id = ?', [req.params.id]);
+
+    if (result.affectedRows === 0) {
+      return res.status(404).json({ error: 'Mitarbeiter nicht gefunden' });
+    }
+
+    res.json({ message: 'Mitarbeiter erfolgreich gelöscht' });
+  } catch (error) {
+    console.error('Fehler beim Löschen des Mitarbeiters:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+export default router;
--- a/backend/routes/ruecknahmen.js
+++ b/backend/routes/ruecknahmen.js
@@ -0,0 +1,116 @@
+import express from 'express';
+import { body, validationResult } from 'express-validator';
+import pool from '../config/database.js';
+import { authenticateToken } from '../middleware/auth.js';
+import { upload } from '../middleware/upload.js';
+
+const router = express.Router();
+
+// Alle Routen erfordern Authentifizierung
+router.use(authenticateToken);
+
+// GET alle Rücknahmen
+router.get('/', async (req, res) => {
+  try {
+    const [rows] = await pool.query(`
+      SELECT 
+        r.*,
+        k.name as kunde_name,
+        a.bezeichnung as artikel_bezeichnung,
+        a.pfand_betrag,
+        m.name as mitarbeiter_name
+      FROM ruecknahmen r
+      LEFT JOIN kunden k ON r.kunde_id = k.id
+      LEFT JOIN artikel a ON r.artikel_id = a.id
+      LEFT JOIN mitarbeiter m ON r.mitarbeiter_id = m.id
+      ORDER BY r.erstellt_am DESC
+    `);
+    res.json(rows);
+  } catch (error) {
+    console.error('Fehler beim Abrufen der Rücknahmen:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// GET Rücknahmen nach Kunde
+router.get('/kunde/:kunde_id', async (req, res) => {
+  try {
+    const [rows] = await pool.query(`
+      SELECT 
+        r.*,
+        k.name as kunde_name,
+        a.bezeichnung as artikel_bezeichnung,
+        a.pfand_betrag,
+        m.name as mitarbeiter_name
+      FROM ruecknahmen r
+      LEFT JOIN kunden k ON r.kunde_id = k.id
+      LEFT JOIN artikel a ON r.artikel_id = a.id
+      LEFT JOIN mitarbeiter m ON r.mitarbeiter_id = m.id
+      WHERE r.kunde_id = ?
+      ORDER BY r.erstellt_am DESC
+    `, [req.params.kunde_id]);
+    res.json(rows);
+  } catch (error) {
+    console.error('Fehler beim Abrufen der Rücknahmen:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// POST neue Rücknahme (mit optionalem Foto)
+router.post('/', upload.single('foto'), [
+  body('kunde_id').notEmpty(),
+  body('artikel_id').notEmpty(),
+  body('anzahl').isInt({ min: 1 })
+], async (req, res) => {
+  const errors = validationResult(req);
+  if (!errors.isEmpty()) {
+    return res.status(400).json({ errors: errors.array() });
+  }
+
+  const { kunde_id, artikel_id, anzahl } = req.body;
+  const foto_url = req.file ? `/uploads/${req.file.filename}` : null;
+
+  try {
+    const [result] = await pool.query(
+      'INSERT INTO ruecknahmen (kunde_id, artikel_id, anzahl, foto_url, mitarbeiter_id) VALUES (?, ?, ?, ?, ?)',
+      [kunde_id, artikel_id, anzahl, foto_url, req.user.id]
+    );
+
+    const [newRuecknahme] = await pool.query(`
+      SELECT 
+        r.*,
+        k.name as kunde_name,
+        a.bezeichnung as artikel_bezeichnung,
+        a.pfand_betrag,
+        m.name as mitarbeiter_name
+      FROM ruecknahmen r
+      LEFT JOIN kunden k ON r.kunde_id = k.id
+      LEFT JOIN artikel a ON r.artikel_id = a.id
+      LEFT JOIN mitarbeiter m ON r.mitarbeiter_id = m.id
+      WHERE r.id = ?
+    `, [result.insertId]);
+
+    res.status(201).json(newRuecknahme[0]);
+  } catch (error) {
+    console.error('Fehler beim Anlegen der Rücknahme:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+// DELETE Rücknahme
+router.delete('/:id', async (req, res) => {
+  try {
+    const [result] = await pool.query('DELETE FROM ruecknahmen WHERE id = ?', [req.params.id]);
+
+    if (result.affectedRows === 0) {
+      return res.status(404).json({ error: 'Rücknahme nicht gefunden' });
+    }
+
+    res.json({ message: 'Rücknahme erfolgreich gelöscht' });
+  } catch (error) {
+    console.error('Fehler beim Löschen der Rücknahme:', error);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+});
+
+export default router;
--- a/backend/scripts/create-admin.js
+++ b/backend/scripts/create-admin.js
@@ -0,0 +1,56 @@
+import bcrypt from 'bcrypt';
+import mysql from 'mysql2/promise';
+import dotenv from 'dotenv';
+
+dotenv.config();
+
+async function createAdmin() {
+  const connection = await mysql.createConnection({
+    host: process.env.DB_HOST || 'localhost',
+    port: process.env.DB_PORT || 3306,
+    user: process.env.DB_USER || 'pfandsystem',
+    password: process.env.DB_PASSWORD || 'pfandsystem_secure_password',
+    database: process.env.DB_NAME || 'pfandsystem'
+  });
+
+  console.log('✅ Verbindung zur Datenbank hergestellt');
+
+  // Admin-Daten
+  const email = 'admin@pfandsystem.de';
+  const password = 'admin123'; // BITTE ÄNDERN!
+  const name = 'Administrator';
+  const rolle = 'admin';
+
+  // Prüfe ob Admin bereits existiert
+  const [existing] = await connection.query(
+    'SELECT id FROM mitarbeiter WHERE email = ?',
+    [email]
+  );
+
+  if (existing.length > 0) {
+    console.log('⚠️  Admin-Benutzer existiert bereits!');
+    await connection.end();
+    return;
+  }
+
+  // Passwort hashen
+  const passwordHash = await bcrypt.hash(password, 10);
+
+  // Admin anlegen
+  await connection.query(
+    'INSERT INTO mitarbeiter (email, password_hash, name, rolle) VALUES (?, ?, ?, ?)',
+    [email, passwordHash, name, rolle]
+  );
+
+  console.log('✅ Admin-Benutzer erfolgreich angelegt!');
+  console.log('📧 Email:', email);
+  console.log('🔑 Passwort:', password);
+  console.log('⚠️  BITTE PASSWORT NACH DEM ERSTEN LOGIN ÄNDERN!');
+
+  await connection.end();
+}
+
+createAdmin().catch(err => {
+  console.error('❌ Fehler:', err);
+  process.exit(1);
+});
--- a/backend/server.js
+++ b/backend/server.js
@@ -0,0 +1,72 @@
+import express from 'express';
+import cors from 'cors';
+import dotenv from 'dotenv';
+import path from 'path';
+import { fileURLToPath } from 'url';
+
+// Routes
+import authRoutes from './routes/auth.js';
+import kundenRoutes from './routes/kunden.js';
+import artikelRoutes from './routes/artikel.js';
+import lieferungenRoutes from './routes/lieferungen.js';
+import ruecknahmenRoutes from './routes/ruecknahmen.js';
+import mitarbeiterRoutes from './routes/mitarbeiter.js';
+
+dotenv.config();
+
+const __filename = fileURLToPath(import.meta.url);
+const __dirname = path.dirname(__filename);
+
+const app = express();
+const PORT = process.env.PORT || 3001;
+
+// Middleware
+app.use(cors());
+app.use(express.json());
+app.use(express.urlencoded({ extended: true }));
+
+// Statische Dateien (Uploads)
+app.use('/uploads', express.static(path.join(__dirname, 'uploads')));
+
+// Health Check
+app.get('/health', (req, res) => {
+  res.json({ status: 'OK', timestamp: new Date().toISOString() });
+});
+
+// API Routes
+app.use('/api/auth', authRoutes);
+app.use('/api/kunden', kundenRoutes);
+app.use('/api/artikel', artikelRoutes);
+app.use('/api/lieferungen', lieferungenRoutes);
+app.use('/api/ruecknahmen', ruecknahmenRoutes);
+app.use('/api/mitarbeiter', mitarbeiterRoutes);
+
+// Error Handler
+app.use((err, req, res, next) => {
+  console.error('Fehler:', err);
+  
+  if (err.name === 'MulterError') {
+    if (err.code === 'LIMIT_FILE_SIZE') {
+      return res.status(400).json({ error: 'Datei zu groß (max. 10MB)' });
+    }
+    return res.status(400).json({ error: err.message });
+  }
+  
+  res.status(err.status || 500).json({
+    error: err.message || 'Interner Serverfehler'
+  });
+});
+
+// 404 Handler
+app.use((req, res) => {
+  res.status(404).json({ error: 'Route nicht gefunden' });
+});
+
+// Server starten
+app.listen(PORT, '0.0.0.0', () => {
+  console.log(`🚀 Backend-Server läuft auf Port ${PORT}`);
+  console.log(`📊 Health Check: http://localhost:${PORT}/health`);
+  console.log(`🔐 API Base URL: http://localhost:${PORT}/api`);
+});
+
+export default app;