docs: sync CHANGELOG, llms.txt, READMEs; untrack internal files

- CHANGELOG.md: document two undocumented commits (XSS/SW fixes in
  web_companion, auto_categorize pytest suite) under [Unreleased]
- llms.txt: add Audience section, convert Search Phrases to fenced code
  block, add Last-checked: 2026-06-11
- README.md + README-DE.md: replace dead PORTIERUNGSPLAN.md links with
  CONTRIBUTING.md / EXPORTFORMAT.md
- .gitignore: add Feature_Analyse_DocsGrabber.md
- git rm --cached: untrack AUFGABEN.txt, PORTIERUNGSPLAN.md,
  Feature_Analyse_DocsGrabber.md (already gitignored, now consistent)

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

Author: Lukas Geiger

.gitignore

@@ -71,6 +71,7 @@ Thumbs.db
 .DS_Store
 ehthumbs.db
 DECISIONS.md
+Feature_Analyse_DocsGrabber.md
 PORTIERUNGSPLAN.md
 TODO.md
 DONE.md

AUFGABEN.txt

@@ -26,6 +26,9 @@ Format basiert auf [Keep a Changelog](https://keepachangelog.com/de/1.1.0/).
 - `.gitattributes` für stabile Zeilenenden im Repository
 - CODE_OF_CONDUCT.md, CONTRIBUTING.md, SECURITY.md (GitHub-Policy Compliance)
 - CHANGELOG.md mit Versionshistorie
+- 15 pytest-Tests für `GrabberWorker._auto_categorize` (disabled-shortcut, custom rules nach Subject/Sender, custom > default, alle 8 Default-Kategorien: Rechnungen, Versand, Verträge, Kündigungen, Steuer, Versicherung, Bewerbungen, Bank, plus no-match)
+- 12 statische + 1 Runtime-Tests für den Web/PWA-Companion (`web_companion/tests/pwa_smoke.test.mjs`)
+- PWA-Icons (192/512 px, standard + maskable) in `web_companion/icons/`
 - Regressionstests für Body-zu-PDF-Fallback, Profil-Drag&Drop und Batch-Ausführung aktiver Profile
 - Regressionstests für Gmail-Raw-Suche mit IMAP-Fallback sowie klar beschriftete
   Navigation/Löschaktionen im UI
@@ -53,6 +56,9 @@ Format basiert auf [Keep a Changelog](https://keepachangelog.com/de/1.1.0/).
   verifizierten macOS-/Linux-Source-Smoke-Stand synchronisiert
 
 ### Behoben / Fixed
+- `web_companion/app.js`: `escHtml()` hinzugefügt und in allen `innerHTML`-Interpolationen (`renderProfiles`, `renderCategories`, `renderDocuments`, `renderDocumentDetail`) eingesetzt — XSS-Schutz für Library-Daten
+- `web_companion/app.js`: `document`-Parameter-Shadowing in `renderDocuments`-forEach behoben (`doc` statt `document`), DOM-Global bleibt unberührt
+- `web_companion/sw.js`: `self.skipWaiting()` im install-Handler, `self.clients.claim()` im activate-Handler und `ignoreSearch: true` in `caches.match()` für stabiles Offline-Verhalten ergänzt
 - Deutsche Kategorien und Scheduler-Log verwenden echte Umlaute
 - Veraltete Template-Mailadresse aus dem Verhaltenskodex entfernt