L13 Planung: Menüpunkt Planung mit Plantafel und Live-Lage

Plantafel: Standard heute + nächste 4 Werktage (Kolonnen als Zeilen, heutige Spalte mit Live-Status), Heute mit Kolonnen als parallelen Spalten (6–20 Uhr), Woche/nächste Woche, Auslastung, Konflikte/Hinweise, Verzugs- und Gefährdungs-Badges, Drag & Drop (@dnd-kit/core) mit Bestätigungs-Popover und Tastatur-Alternative, ungeplante Aufträge mit Vorschlägen, früher fertig mit Vorziehen, Kolonnenkapazität-Popup. Live-Lage: Leaflet/OSM-Karte mit einem Marker je Kolonne, Liste, Polling 30 s, Hinweis keine GPS-Ortung; CSP img-src für Kacheln. Dashboard-Kacheln Planung heute und Konflikte diese Woche, Einsatz-Vorschläge im Auftragsdetail, Navigation mit Unterpunkten, Smoke-Prüfungen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

next.config.ts

@@ -5,6 +5,15 @@ import createNextIntlPlugin from "next-intl/plugin";
 // zum Dev-Server. Diese Lockerungen gelten NUR in der Entwicklung, nie im Build.
 const isDev = process.env.NODE_ENV !== "production";
 
+// L13 Planung: map tiles of the live map (MAP_TILE_URL, default OpenStreetMap). Only the tile host(s)
+// are added to img-src — evaluated at build time, so set MAP_TILE_URL before `next build`.
+function mapTileSources(): string {
+  const raw = process.env.MAP_TILE_URL?.trim();
+  if (!raw) return "https://tile.openstreetmap.org https://*.tile.openstreetmap.org";
+  const m = /^(https?):\/\/([^/?#]+)/i.exec(raw);
+  return m ? `${m[1].toLowerCase()}://${m[2].replace(/\{[a-z]\}/gi, "*")}` : "";
+}
+
 // Content-Security-Policy (F-07).
 //
 // Hinweis Skripte: 'unsafe-inline' ist ein bewusster Zwischenstand. Next.js liefert
@@ -16,7 +25,7 @@ const csp = [
   // Next.js und Tailwind v4 setzen Inline-Styles.
   "style-src 'self' 'unsafe-inline'",
   // data: für den MFA-QR-Code; blob: für clientseitige Foto-Vorschauen (Einsatz-Fotos).
-  "img-src 'self' data: blob:",
+  `img-src 'self' data: blob: ${mapTileSources()}`.trim(),
   // blob: für lokale Wiedergabe von Sprachnotizen vor dem Upload.
   "media-src 'self' blob:",
   "font-src 'self' data:",