fix(boxwart): unbekannte /api-Pfade sind 404, Waechter nennt die echte Fehlerursache

- Der SPA-Rueckfall lieferte fuer unbekannte /api-Pfade die Startseite (HTML, 200). Im
  ersten Probelauf stuerzte der Start daran ab (/api/radar gab es noch nicht). Jetzt 404;
  api() behandelt Nicht-JSON als Fehler, der Router zeigt eine deutsche Fehleranzeige.
- Waechter: Skriptmeldungen ("! ...", fehlgeschlagen) gehen vor systemd-Rahmenzeilen wie
  "Failed to start ..." - die sagen nur, dass es scheiterte, nicht warum.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/app.py

@@ -19,7 +19,7 @@ from typing import Any
 
 import httpx
 from config import FRONTEND_DIST, V1_UPSTREAM, VERSION
-from fastapi import FastAPI
+from fastapi import FastAPI, HTTPException
 from fastapi.middleware.cors import CORSMiddleware
 from fastapi.responses import FileResponse
 from fastapi.staticfiles import StaticFiles
@@ -143,6 +143,10 @@ if FRONTEND_DIST.exists():
 
     @app.get("/{full_path:path}")
     def spa(full_path: str):
+        # Unbekannte /api-Pfade sind ein echter 404, keine Startseite: Sonst bekommt die
+        # Oberfläche HTML statt JSON und stürzt ab (erster Probelauf 23.09., /api/radar).
+        if full_path == "api" or full_path.startswith("api/"):
+            raise HTTPException(status_code=404, detail="Diese Schnittstelle gibt es nicht.")
         # Datei direkt aus FRONTEND_DIST ausliefern (manifest.webmanifest, favicon.ico, …) — aber
         # NUR innerhalb des dist-Ordners: Pfad auflösen + Traversal (../, absolute Pfade) hart raus.
         try:

backend/services/waechter.py

@@ -134,12 +134,20 @@ def _journal_fehlerzeile(name: str, system: bool = False) -> str:
 
 
 def waehle_fehlerzeile(zeilen: list[str]) -> str:
-    """Letzte Zeile, die nach Fehler aussieht (projekte-sync markiert Fehler mit „!“)."""
-    muster = re.compile(r"(^\s*!|fehlgeschlagen|ABBRUCH|error|failed|fatal)", re.IGNORECASE)
-    for zeile in reversed(zeilen):
-        if muster.search(zeile):
-            # Zeitstempel "2026-09-23 21:02:46 " des Skript-Logs abschneiden
-            return re.sub(r"^\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\s+", "", zeile).strip()[:300]
+    """Die Zeile mit der eigentlichen Ursache. Zuerst die Meldungen des Skripts selbst
+    (projekte-sync markiert Fehler mit „!“), erst dann allgemeine Fehlerwörter — und nie die
+    systemd-Rahmenzeilen („Failed to start …“, „Main process exited …“): Die sagen nur,
+    DASS es scheiterte, nicht warum (so stand es im ersten Probelauf am 23.09.)."""
+    rahmen = re.compile(r"Failed to start|Main process exited|Failed with result|Consumed .* CPU time")
+    stufen = (
+        re.compile(r"(^(\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\s+)?\s*!|fehlgeschlagen|ABBRUCH)", re.IGNORECASE),
+        re.compile(r"(error|failed|fatal|traceback)", re.IGNORECASE),
+    )
+    for muster in stufen:
+        for zeile in reversed(zeilen):
+            if muster.search(zeile) and not rahmen.search(zeile):
+                # Zeitstempel "2026-09-23 21:02:46 " des Skript-Logs abschneiden
+                return re.sub(r"^\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2}\s+", "", zeile).strip()[:300]
     return ""
 
 

backend/tests/test_waechter.py

@@ -27,6 +27,16 @@ def test_fehlerzeile_nimmt_die_letzte_fehlerzeile_ohne_zeitstempel():
     assert "2026-09-23" not in zeile
 
 
+def test_fehlerzeile_uebergeht_systemd_rahmenzeilen():
+    """Echtes Journal vom 23.09.: systemd schreibt NACH der Skriptzeile noch „Failed to start …“."""
+    zeilen = PROJEKTE_SYNC_LOG + [
+        "projekte-sync.service: Main process exited, code=exited, status=1/FAILURE",
+        "projekte-sync.service: Failed with result 'exit-code'.",
+        "Failed to start projekte-sync.service - Projekte-Sync — haelt ~/projekte mit Gitea deckungsgleich.",
+    ]
+    assert waechter.waehle_fehlerzeile(zeilen).startswith("! TTT2-Toolbox_ClaudeEdition")
+
+
 def test_fehlerzeile_leer_wenn_nichts_nach_fehler_aussieht():
     assert waechter.waehle_fehlerzeile(["alles gut", "=== Ende (Fehler: 0) ==="]) == ""