Sicherheits-Fixes, toter Code entfernt, Optimierungen

Sicherheit:
- CSRF-Schutz auf allen API-Routes (admin, proposals, files, stats, export)
- authenticateToken vor csrfProtection bei admin/proposals (CSRF-Bypass behoben)
- CORS eingeschränkt auf taskmate.aegis-sight.de
- JWT_SECRET und SESSION_TIMEOUT nicht mehr exportiert
- Tote Auth-Funktionen entfernt (generateCsrfToken, generateToken Legacy)

Toter Code entfernt:
- 6 ungenutzte JS-Dateien (tour, dashboard, 4x contacts-*)
- 2 ungenutzte CSS-Dateien (dashboard, contacts-extended)
- backend/migrations/ Verzeichnis, knowledge.js.backup
- Doppelter bcrypt require in database.js

Optimierung:
- Request-Logging filtert statische Assets (nur /api/ wird geloggt)

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

CHANGELOG.txt

@@ -1,6 +1,28 @@
 TASKMATE - CHANGELOG
 ====================
 
+================================================================================
+19.03.2026 - v391 - Sicherheitshärtung und toter Code bereinigt
+
+SICHERHEIT:
+- CSRF-Bypass bei /api/admin und /api/proposals behoben (authenticateToken vor csrfProtection)
+- CSRF-Schutz auf /api/files, /api/stats, /api/export hinzugefuegt
+- CORS eingeschraenkt auf taskmate.aegis-sight.de statt wildcard
+- JWT_SECRET nicht mehr aus auth.js exportiert
+- Toter Code entfernt: generateCsrfToken(), SESSION_TIMEOUT, generateToken() Legacy-Wrapper
+- generateToken() durch direkten generateAccessToken() Aufruf ersetzt
+
+TOTER CODE ENTFERNT:
+- 7 ungenutzte Frontend-JS-Dateien geloescht (tour, dashboard, contacts-*)
+- 2 ungenutzte CSS-Dateien geloescht (contacts-extended, dashboard)
+- knowledge.js.backup geloescht
+- backend/migrations/ Verzeichnis geloescht
+- Doppelter bcrypt require in database.js entfernt
+- Referenzen in index.html und sw.js bereinigt
+
+OPTIMIERUNG:
+- Request-Logging filtert statische Assets raus (nur /api/ Requests)
+
 ================================================================================
 19.03.2026 - v390 - Filter-Buttons in die View-Tabs-Zeile verschoben
 ================================================================================