Refine Light Mode, UX und Mail-Diagnose

CHANGELOG.md

@@ -7,6 +7,21 @@ Versionierung [semantisch](https://semver.org/lang/de/).
 ## [Unreleased] – 2026-07-21 · Gesamt-Audit: Light Mode, Barrierefreiheit, AP2-Inhalte, DSGVO
 
 ### Light Mode & Design
+- **Light-Mode-Fundament:** zentrale UI-Effekte sind jetzt als Theme-Primitives
+  organisiert. Dark Mode behält Neon-Emissionen; Light Mode nutzt warme Elevation,
+  entfernt Text-/Icon-Halos und erhält einen sichtbaren Scrollbar-Thumb. Native
+  Controls folgen über `color-scheme` dem gewählten Theme.
+- **Theme-Start & FinalProtocol:** Erstbesucher folgen der OS-Farbpräferenz, die
+  Browser-Chrome erhält ein passendes `theme-color` und FinalProtocol lädt keinen
+  ungenutzten Legacy-Style mehr; die statischen Lernseiten erhalten daraus nur noch
+  eine minimale Reset-Basis.
+- **Kritische Light-Mode-Fälle behoben:** Login-Overlay, SyntaxSaga-Bühne,
+  CodeEscape-Terminal, NetWorker-Guide und die Farbenblind-Palette sind in heller
+  Darstellung wieder lesbar und kontraststark. A11y-Widget und FinalProtocol
+  verwenden ebenfalls themefähige Farben.
+- **Ansichtswechsel abgesichert:** zentrale SPA-Übergänge starten oben, ohne laufendes
+  Antwortfeedback zu versetzen. FinalProtocol scrollt Ergebnisse und Neustarts gezielt
+  ins Sichtfeld; SyntaxSaga und DevLab fokussieren ohne Scrollsprung.
 - **Echter Light Mode statt Invertierung:** Light-Tokens auf WCAG AA nachgeschärft
   (Akzent, Muted, Sekundär, Spielakzente), neues `--warn`-Token. Die Spielkarten der
   Plattform-Hülle erhalten im Light Mode farbton-treu abgedunkelte Akzente statt
@@ -48,6 +63,14 @@ Versionierung [semantisch](https://semver.org/lang/de/).
 - **Demo-Konto „NeuralTest"** wird per Migration aus produktiven Datenbanken entfernt.
 
 ### Technik & Qualität
+- **E-Mail-Versand diagnostizierbar:** Bestätigungs- und Reset-Mails schreiben jetzt
+  datensparsame, korrelierbare Ereignislogs für Token-Erstellung, SMTP-Übergabe,
+  Fehler, erneute Anforderung und Verifikation. Roh-Tokens und Bestätigungslinks
+  werden nie protokolliert; eine SMTP-Annahme wird nicht als Postfachzustellung
+  ausgegeben.
+- **Legacy aufgeräumt:** die nicht referenzierten Styles für Achievements, Progress,
+  Settings und Soziales sowie `finalflux-check.js` entfernt; der Styleguide dokumentiert
+  die neuen Effekt-Primitives.
 - **Chart.js lokal ausgeliefert** statt vom CDN – das einzige externe Asset entfällt,
   wodurch die Datenschutzerklärung wieder zur Realität passt.
 - **Security-Header** ergänzt: Content-Security-Policy (self-hosted), Referrer-Policy;