feat(statistik): Aktivitäts-Tage je Nutzer erfassen (MAU/DAU-Grundlage)

Neue Tabelle user_activity_days (user_id, day, tenant_id, ein Eintrag je
Nutzer und Kalendertag), angelegt per idempotenter Startup-Migration.
Geschrieben wird sie in get_current_user bei jeder authentifizierten
Nutzung, ein In-Memory-Tagesmerker begrenzt das auf einen INSERT OR
IGNORE je Nutzer und Tag, Fehler werden geschluckt und blockieren nie
eine Anfrage. Gelesen wird die Tabelle nur vom Verwaltungsportal für
die neue MAU/DAU-Statistik. Ein reines Login-Protokoll wäre zu grob,
weil das JWT 24 Stunden hält.

Getestet gegen eine DB-Kopie, Tabelle entsteht, je Nutzer und Tag
genau ein Eintrag trotz Mehrfachaufruf.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

src/auth.py

@@ -59,6 +59,41 @@ def decode_token(token: str) -> dict:
         )
 
 
+# --- Aktivitaets-Erfassung fuer MAU/DAU ---------------------------------------
+# Je Nutzer und Kalendertag genau ein Eintrag in user_activity_days. Der
+# In-Memory-Merker haelt die DB-Last bei einem INSERT je Nutzer und Tag.
+# Ein Fehler hier darf NIEMALS eine Anfrage blockieren.
+_activity_seen: set = set()
+
+
+async def _track_activity(user_id: int, tenant_id) -> None:
+    day = datetime.now(TIMEZONE).strftime("%Y-%m-%d")
+    key = (user_id, day)
+    if key in _activity_seen:
+        return
+    _activity_seen.add(key)
+    if len(_activity_seen) > 20000:
+        # Speicher begrenzen, alte Tage interessieren den Merker nicht mehr
+        _activity_seen.clear()
+        _activity_seen.add(key)
+    try:
+        import aiosqlite
+        from config import DB_PATH
+        db = await aiosqlite.connect(DB_PATH)
+        try:
+            await db.execute(
+                "INSERT OR IGNORE INTO user_activity_days (user_id, day, tenant_id) VALUES (?, ?, ?)",
+                (user_id, day, tenant_id),
+            )
+            await db.commit()
+        finally:
+            await db.close()
+    except Exception:
+        # Bewusst schlucken (z.B. Tabelle fehlt noch). Der Merker behaelt den
+        # Schluessel, damit ein Dauerfehler nicht jede Anfrage erneut trifft.
+        pass
+
+
 async def get_current_user(
     credentials: HTTPAuthorizationCredentials = Depends(security),
 ) -> dict:
@@ -69,6 +104,7 @@ async def get_current_user(
             detail="Nicht authentifiziert",
         )
     payload = decode_token(credentials.credentials)
+    await _track_activity(int(payload["sub"]), payload.get("tenant_id"))
     return {
         "id": int(payload["sub"]),
         "username": payload["username"],