Suche zeigt alle Arten, nur Arbeitsrollen öffnen die Akte

Punkt 1 und 2 der Wünsche, plus zwei Lücken, die dabei sichtbar wurden.

**Suche.** Wer nach Alvarez sucht, landet auf den Fallakten und erfährt nie,
dass es dazu auch eine Personalakte gibt: die Suche fand sie, aber hinter einem
Reiter, auf den nichts hindeutete. Die Reiter tragen jetzt ihre Trefferzahl,
und ein leeres Ergebnis nennt ausdrücklich, wo etwas liegt.

Dabei fiel auf, dass searchPersonnel das Recht personnel.read nicht prüfte. Die
Kommandopalette tat es, die Aktenseite tat es, die Suche nicht — über
/suche?kind=personnel kam jeder mit ausreichender Stufe an eine Liste aller
Personalakten mit Namen, Dienstgrad und Etiketten. Die Prüfung steht jetzt
dort, wo diese Akten herausgegeben werden. Die Trefferzahl einer Art, die es
für den Nutzer nicht gibt, ist null und nicht 0: eine Null wäre die Auskunft
„hier ist nichts", und die steht ihm nicht zu.

**Täter und Mittäter** als Beteiligtenrollen — und damit wurde eine ältere
Lücke offensichtlich: ein Beteiligter durfte die Akte lesen, gleich in welcher
Rolle. Bei „Betroffener" fiel das nicht auf, bei „Täter" wäre es offensichtlich
falsch. Der Beschuldigte hätte die Ermittlung gegen sich selbst mitgelesen.

Die Beteiligtenliste beantwortet zwei Fragen: wer bearbeitet den Fall, und um
wen geht es darin. Nur die erste ist eine Berechtigung. WORKING_ROLES nennt die
drei, die die Akte öffnen; Zeuge, Betroffener, Täter und Mittäter öffnen
nichts. Das gilt an allen vier Stellen, die auf Beteiligung prüften:
Aktenzugriff, Dokumentzugriff über die besitzende Akte, „meine Fälle" und der
Filter „nur meine".

Zwei bestehende Tests hatten die alte Annahme festgeschrieben und benutzten
WITNESS, um Zugriff zu belegen; sie prüfen jetzt mit INVESTIGATOR.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/13-entscheidungen.md

@@ -1107,3 +1107,41 @@ Fix grün und wurde wieder entfernt — eine Prüfung, die nicht anschlägt, ist
 keine. `web/tests/thema-vorab.test.ts` prüft stattdessen die drei Dinge am Skript, die
 zusammenpassen müssen: Nonce, Hydrierungsausnahme und derselbe Speicherschlüssel wie im
 Umschalter.
+
+## Beteiligte, Suche, Abteilungen
+
+### Nur Arbeitsrollen öffnen die Akte
+
+Anlass war ein einfacher Wunsch: neben Zeuge und Betroffenem sollte man auch **Täter** und
+**Mittäter** eintragen können. Dabei fiel eine Lücke auf, die schon vorher bestand.
+
+Ein Beteiligter durfte die Akte lesen, gleich in welcher Rolle — so stand es in docs/03 und so
+war es umgesetzt. Bei „Betroffener" fiel das nicht auf. Mit „Täter" wäre es offensichtlich
+falsch geworden: der Beschuldigte hätte die Ermittlung gegen sich selbst mitgelesen, sofern er
+ein Discord-Konto hat.
+
+Die Beteiligtenliste beantwortet eben zwei Fragen — *wer bearbeitet den Fall* und *um wen geht
+es darin* —, und nur die erste ist eine Berechtigung. `WORKING_ROLES` in `lib/cases/terms.ts`
+nennt die drei, die die Akte öffnen: Ermittlungsführung, Ermittler, Beobachter. Zeuge,
+Betroffener, Täter und Mittäter öffnen nichts.
+
+Das gilt an allen vier Stellen, die auf Beteiligung geprüft haben: Aktenzugriff,
+Dokumentzugriff über die besitzende Akte, „meine Fälle" auf der Übersicht und der Filter „nur
+meine" in der Suche. Ein Test geht alle vier Nicht-Arbeitsrollen einzeln durch.
+
+### Die Suche zeigt, wo sonst noch etwas liegt
+
+Wer nach einem Namen suchte, landete auf den Fallakten und erfuhr nie, dass es zu demselben
+Namen auch eine Personalakte gibt — die Suche fand sie, aber hinter einem Reiter, auf den
+nichts hindeutete. Die Reiter tragen jetzt ihre Trefferzahl, und ein leeres Ergebnis nennt
+ausdrücklich, wo etwas liegt.
+
+Dabei fiel auf, dass `searchPersonnel` das Recht `personnel.read` **nicht** prüfte. Die
+Kommandopalette tat es, die Aktenseite tat es, die Suche nicht: über `/suche?kind=personnel`
+kam jeder mit ausreichender Stufe an eine Liste aller Personalakten mit Namen, Dienstgrad und
+Etiketten. Die Prüfung steht jetzt in `lib/search/service.ts` und damit an der Stelle, die
+diese Akten herausgibt, nicht in der Seite.
+
+Die Trefferzahl einer Art, die es für den Nutzer nicht gibt, ist `null` und nicht `0`: eine
+Null wäre die Auskunft „hier ist nichts", und die steht ihm nicht zu. Der Reiter fehlt dann
+ganz.