docs(encryption): complete German reference coverage

src/govoplan_encryption/backend/manifest.py

@@ -17,6 +17,7 @@ from govoplan_core.core.module_guards import (
 )
 from govoplan_core.core.modules import (
     CapabilityDocumentation,
+    DocumentationCondition,
     DocumentationLink,
     DocumentationTopic,
     FrontendModule,
@@ -45,7 +46,7 @@ from govoplan_encryption.backend.service import SqlEncryptionService
 
 MODULE_ID = "encryption"
 MODULE_NAME = "Encryption"
-MODULE_VERSION = "0.1.18"
+MODULE_VERSION = "0.1.19"
 
 USE_SCOPE = "encryption:vault:use"
 ADMIN_SCOPE = "encryption:vault:admin"
@@ -367,6 +368,7 @@ manifest = ModuleManifest(
             related_modules=("core", "identity_trust", "audit", "policy"),
             order=95,
             metadata={
+                "kind": "reference",
                 "help_contexts": [
                     "encryption.admin.operations",
                     "privacy.data-subject-requests",
@@ -383,6 +385,35 @@ manifest = ModuleManifest(
                     ),
                 },
             },
+            translations={
+                "de": {
+                    "title": "Datenschutzanfragen zur Verschlüsselung",
+                    "summary": (
+                        "Mitwirkung an kryptografischer Verwahrung ausgeben, ohne geschützte Inhalte oder Schlüsselmaterial offenzulegen."
+                    ),
+                    "body": (
+                        "Encryption gleicht ausschließlich eine exakte Mandantenkontokennung ab und kann eine bereits verifizierte "
+                        "Suche auf einen Tresor, Schlüsselvorgang, Umschlag, eine Migration oder Wiederherstellungszeremonie "
+                        "einschränken. Die Ausgabe meldet minimierte Tresoradministration, Schlüsselvorgangsanfragen, "
+                        "Schutzregistrierungen, Migrationen und Wiederherstellungsmitwirkung. Sie enthält niemals Anbieter- oder "
+                        "öffentliche Schlüsselverweise, umhüllte Schlüssel, Nonces, Chiffratorte, Ressourcenkennungen, Prüfsummen, "
+                        "Anfrageinhalte, Zusicherungs- und Regelverweise, Wiederherstellungsgründe, Idempotenzschlüssel oder Provenienz. "
+                        "Fachmodule bleiben für die Ausgabe der Klartextsemantik ihrer geschützten Ressourcen verantwortlich. "
+                        "Zuordnungen des kryptografischen Lebenszyklus und der Verwahrung bleiben unveränderliche Sicherheitsnachweise "
+                        "und werden nicht automatisch gelöscht."
+                    ),
+                }
+            },
+            structured_translation_version="1",
+            structured_translations={
+                "de": {
+                    "consequence_classes": {
+                        "export_custody_attribution": "Gibt minimierte Lebenszyklusaktivität für das exakte Konto zurück.",
+                        "exclude_cryptographic_secrets": "Gibt niemals Schlüsselmaterial, Chiffratverweise, Nonces oder geschützte Nachweise zurück.",
+                        "retain_cryptographic_evidence": "Bewahrt unveränderliche Verantwortungsnachweise zu Verwahrung und Wiederherstellung.",
+                    }
+                }
+            },
         ),
         DocumentationTopic(
             id="encryption.boundary",
@@ -419,6 +450,23 @@ manifest = ModuleManifest(
                     kind="repository",
                 ),
             ),
+            metadata={"kind": "reference"},
+            translations={
+                "de": {
+                    "title": "Abgrenzung von Verschlüsselung und Schlüsselverwahrung",
+                    "summary": (
+                        "Optionale Fähigkeiten für Tresore, Inhaltsschutz, Rotation, Wiederherstellung und Deaktivierungsnachweise."
+                    ),
+                    "body": (
+                        "Encryption schützt fachmoduleigene Inhalte, ohne deren fachliche Eigentümerschaft zu übernehmen. Die "
+                        "Wiederherstellung von Ressourceneigentum gewährt niemals stillschweigend kryptografische Schlüssel. "
+                        "Lebenszyklusaktionen mit hohem Risiko erfordern eine aktuelle Identity-Trust-Zusicherung. Die Deaktivierung "
+                        "bleibt gesperrt, bis jeder Umschlag migriert, entschlüsselt, ausdrücklich exportiert oder kryptografisch "
+                        "vernichtet wurde. Der mitgelieferte lokale AES-GCM-Anbieter ist serverseitig lesbar und erfordert den "
+                        "Deployment-Hauptschlüssel; er begründet keine Ende-zu-Ende-Verschlüsselung."
+                    ),
+                }
+            },
         ),
         DocumentationTopic(
             id="encryption.administration",
@@ -442,6 +490,23 @@ manifest = ModuleManifest(
             audience=("administrator", "security_officer", "auditor"),
             related_modules=OPTIONAL_DEPENDENCIES,
             order=110,
+            metadata={"kind": "reference"},
+            translations={
+                "de": {
+                    "title": "Verschlüsselungsvorgänge administrieren",
+                    "summary": (
+                        "Sichere Tresor- und Umschlagmetadaten prüfen, den Schlüssellebenszyklus steuern, Migrationen koordinieren und Deaktivierungsbereitschaft nachweisen."
+                    ),
+                    "body": (
+                        "Die Encryption-Administration zeigt begrenzte Mandantenmetadaten, aber niemals Anbieterschlüsselverweise, "
+                        "umhüllte Schlüssel, Chiffratorte oder Klartext. Rotation erzeugt eine neue aktuelle Version, während "
+                        "bestehende Umschläge an ihre Version gebunden bleiben. Widerruf und Vernichtung können bereits erlangtes "
+                        "Material nicht zurückrufen und Inhalte unzugänglich machen. Migrationen bleiben zweiphasig: Das "
+                        "Eigentümermodul führt den dauerhaften Inhaltsvorgang aus und hält vor Erfolg Nachweise fest. Die "
+                        "Deaktivierungsvorprüfung sperrt, bis jeder Umschlag einen endgültigen Verbleib hat."
+                    ),
+                }
+            },
         ),
         DocumentationTopic(
             id="encryption.recovery",
@@ -461,8 +526,27 @@ manifest = ModuleManifest(
             layer="available",
             documentation_types=("admin", "user"),
             audience=("administrator", "security_officer", "auditor"),
+            conditions=(
+                DocumentationCondition(required_scopes=(RECOVERY_SCOPE,)),
+            ),
             related_modules=("identity_trust", "access", "audit", "policy"),
             order=120,
+            metadata={"kind": "workflow"},
+            translations={
+                "de": {
+                    "title": "Wiederherstellungszeremonie für Verschlüsselung durchführen",
+                    "summary": (
+                        "Zeitlich begrenzte Wiederherstellung mit hoher Zusicherung und Quorum unterschiedlicher Verwahrender beantragen und entscheiden."
+                    ),
+                    "body": (
+                        "Die antragstellende Person legt Regel und aktuellen Nachweis hoher Zusicherung vor und darf dieselbe "
+                        "Zeremonie nicht genehmigen. Jede verwahrende Person kann genau einmal entscheiden; eine Ablehnung beendet "
+                        "den Antrag und Genehmigungen müssen das Tresorquorum vor Ablauf erreichen. Die Genehmigung autorisiert einen "
+                        "späteren Anbietervorgang. Sie gibt kein Schlüsselmaterial frei, überträgt kein Ressourceneigentum und beweist "
+                        "nicht, dass die Wiederherstellung erfolgreich ausgeführt wurde."
+                    ),
+                }
+            },
         ),
     ),
     architecture=declared_module_architecture(