Lizenzsystem auf Deploymentcenter umgestellt

Predictalytics hing noch am abgeloesten LicenseLabrador (license.mhdf.de),
waehrend die Lizenzen inzwischen im Deploymentcenter (dc.mhdf.de) gepflegt
werden. Vor dem Umbau mit einem Wegwerf-Probelauf gegen den echten Client
abgesichert: Slug predictalytics, HWID v2 aus machine-guid, Server meldet valid.

Hosting/LicenseGuard.cs auf Deploymentcenter.Client umgeschrieben. Die
Aufteilung bleibt: plattformneutrale Pruefung im Hosting, interaktive
Aktivierung in den Hosts.

Gewinn fuer die Linux-Portierung:
- Hardware-ID v2 mit Quellen-Kaskade /etc/machine-id, dbus, DMI-UUID, MAC,
  Schluesseldatei; Container ueber DEPLOYMENTCENTER_HWID
- Der Rechnername steckt nicht mehr im Hash, Umbenennen verbraucht keinen
  Aktivierungsplatz
- Cache mit AES-256-GCM statt DPAPI, ohne stillen Klartext-Rueckfall unter
  Linux. Damit erledigt sich Punkt 3.2 Nr. 2 der Portierungsanalyse.
- XDG_CONFIG_HOME wird beruecksichtigt
- Keine Basic-Auth-Zugangsdaten mehr im Quelltext

Neue CLI-Schalter aus dem Integrationsleitfaden, ausgewertet vor jeder
Avalonia-Initialisierung: --license-status, --license-set-key,
--license-deactivate. Schluessel werden in der Ausgabe maskiert.

Die Lizenzfenster beider Hosts zeigen jetzt die Hardware-ID an, an die der
Server die Aktivierung bindet.

Build: 0 Fehler. Tests: 100 bestanden.
Verifiziert: --license-status meldet gueltig; die GUI startet vollstaendig
durch bis MainWindowViewModel.Start(), belegt durch die Logdateien.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/PLAN-Linux-Portierung.md

@@ -309,12 +309,22 @@ Beide Betriebsarten laufen an:
 | `Predictalytics.Shell.exe` (GUI) | startet, Lizenzfenster erscheint, kein Absturz |
 | Konsolen-Kodierung | UTF-8 explizit gesetzt — ohne das zeigt die Windows-Konsole nur Fragezeichen statt Rahmen und Emoji |
 
-### ⚠️ Nicht verifiziert: das Hauptfenster
+### Nachtrag 2026-08-07: Hauptfenster verifiziert ✅
 
-Die hinterlegte Lizenz ist **abgelaufen** (`Expired: License has expired`). Beide
-Betriebsarten bleiben deshalb an der Lizenzschranke stehen — `MainWindow`, Terminal,
-Einstellungsansicht und die Wartungsaktionen sind compilergeprüft, aber **noch nie
-angezeigt worden**. Nach Erneuerung der Lizenz nachzuholen.
+Zunächst blockierte eine abgelaufene Lizenz die Prüfung. Nach der Umstellung auf das
+Deploymentcenter (Abschnitt 5a) startet die GUI vollständig durch — belegt durch die
+Logdateien des Laufs:
+
+```
+[INF] Shell initialisiert. Bereit.
+[INF] 'Start Webserver' startet die WebUI auf http://localhost:5000
+[INF] Einstellungen: C:\Users\bergm\AppData\Roaming\Predictalytics\settings.json
+```
+
+Damit sind Lizenzschranke, Serilog-Aufbau mit Terminal-Sink, `MainWindowViewModel.Start()`
+und der neue Einstellungspfad nachgewiesen. **Noch nicht durchgeklickt**: die einzelnen
+Wartungsaktionen und die Einstellungsansicht — dafür fehlen die in Phase 1 verlorenen
+DB-Zugangsdaten.
 
 ### Umsetzung
 
@@ -433,6 +443,55 @@ Lizenzdialog.
 
 ---
 
+## 5a. Zusatz — Umstellung auf das Deploymentcenter-Lizenzsystem ✅ (2026-08-07)
+
+**Nicht ursprünglich geplant.** Beim Aktivieren der neuen Lizenz stellte sich heraus, dass
+Predictalytics noch am alten Lizenzsystem hing (LicenseLabrador, `license.mhdf.de`),
+während die Lizenzen inzwischen im Deploymentcenter (`dc.mhdf.de`) gepflegt werden.
+
+Vor dem Umbau mit einem Wegwerf-Probelauf gegen den echten Client abgesichert:
+Slug `predictalytics`, HWID v2 aus `machine-guid`, Server meldet `valid`.
+
+### Was sich geändert hat
+
+| | vorher (LicenseLabrador) | jetzt (Deploymentcenter) |
+|---|---|---|
+| Endpunkt | `license.mhdf.de/public/api/v1` | `dc.mhdf.de/api/license/v1` |
+| Client | `LicenseLabrador.Client` (netstandard2.0) | `Deploymentcenter.Client` (netstandard2.0;net8.0) |
+| Authentifizierung | Ed25519-Signaturprüfung + Basic Auth im Quelltext | serverseitig, kein Geheimnis im Client |
+| Hardware-ID | SHA-256 aus MachineGuid **+ Rechnername** | **v2**: `2:<plattform>:<hex>`, ohne Rechnername |
+| Linux-HWID | `/etc/machine-id`, sonst MAC | `/etc/machine-id` → dbus → DMI-UUID → MAC → Schlüsseldatei |
+| Container | nicht vorgesehen | `DEPLOYMENTCENTER_HWID` überschreibt |
+| Cache | DPAPI, **stiller Klartext-Rückfall unter Linux** | AES-256-GCM, HKDF aus HWID+Slug, **kein Klartext-Rückfall**, `0600` unter Linux |
+| Ablageort | `%APPDATA%` | zusätzlich `XDG_CONFIG_HOME` unter Linux |
+
+**Damit erledigt sich Analyse-Punkt 3.2 Nr. 2 von selbst:** der stille Klartext-Rückfall
+des Lizenz-Caches unter Linux existiert im neuen Client nicht mehr. Der Rechnername steckt
+außerdem nicht mehr im Hash — Umbenennen verbraucht keinen Aktivierungsplatz.
+
+### Neue CLI-Schalter (`Services/LicenseCli.cs`)
+
+Aus dem Deploymentcenter-Integrationsleitfaden übernommen, für Server ohne Oberfläche:
+
+```bash
+Predictalytics.Shell --license-status              # HWID, Cache-Ablage, Serverprüfung
+Predictalytics.Shell --license-set-key <SCHLÜSSEL> # einmalig aktivieren
+Predictalytics.Shell --license-deactivate          # Aktivierungsplatz freigeben
+```
+
+Die Schalter werden **vor** jeder Avalonia-Initialisierung ausgewertet, wie `--headless`.
+Der Schlüssel wird in der Ausgabe maskiert (`LLAB3-*****-*****-*****-AABB2`).
+
+### ⚠️ Offen: Watchdog läuft noch auf dem alten System
+
+Das Deploymentcenter bündelt License, Watchdog, UpdateService und Bugtracker.
+`WatchdogHeartbeatService` zeigt weiterhin auf `watchdog.mhdf.de` mit dem Header
+`X-Watchdog-Key`. Das funktioniert, ist aber dieselbe Altlast wie eben beim Lizenzsystem.
+Migration nach `dc.mhdf.de/api/watchdog/v1` als eigener Schritt einplanen —
+Leitfaden liegt unter `Deploymentcenter/docs/WATCHDOG_INTEGRATION_GUIDE.md`.
+
+---
+
 ## 6. Phase 4 — Aufräumen und Absichern (1–1,5 PT)
 
 ### AP 4.1 — Kestrel-Binding und Absicherung ⚠️