Datenschutz: Fehlerberichte nur mit Zustimmung senden (Opt-in)

Uebertragung eines Befunds aus dem Security-Audit der alten Melo-App
(21.08.2026) in die neue Codebasis.

Ausgangslage hier war eine ANDERE als dort: LoggerService lud jeden Fehler
unbedingt zu logs.baka-net.de hoch, es gab ueberhaupt keinen Schalter. In
der alten App existierte er zwar, wirkte aber nicht ueber einen Neustart
hinaus.

Neu:
- Schalter "Fehlerberichte senden" in den Einstellungen unter Datenschutz,
  Standard AUS. Ohne ausdrueckliche Zustimmung verlaesst kein Bericht das
  Geraet - auch nicht beim allerersten Start und auch nicht im Zeitfenster
  zwischen logger.init() und settings.init().
- Sperre an der einzigen Stelle, durch die jeder Upload laeuft. Lokales
  debugPrint bleibt, aber nichts verlaesst das Geraet; der Puffer wird
  geleert, damit er nicht unbegrenzt waechst.
- Die Entscheidung ueberlebt den Neustart: AppSettings speichert sie und
  reicht sie an den Logger durch, UND LoggerService liest sie beim Start
  zusaetzlich selbst.
- LoggerService bekam einen injizierbaren http.Client (Muster wie BakaAuth),
  damit sich belegen laesst, dass ohne Zustimmung KEIN Request rausgeht.

Auswirkung auf bestehende Installationen: Wer bisher unfreiwillig Berichte
gesendet hat, sendet ab diesem Update keine mehr, bis er zustimmt. Das ist
gewollt - die Zustimmung wurde nie eingeholt.

Nicht uebernommen: der zweite Befund (Logout liess Zugangsdaten zurueck)
trifft hier nicht zu. BakaAuth.abmelden() loescht genau die Schluessel, die
anmelden() schreibt, und Navidrome hat mit loescheZugangsdaten() ein
eigenes, vollstaendiges Trennen.

Auf main (34d6d8e) rebast. settings_screen.dart hat sich sauber automatisch
zusammengefuehrt - die Umbenennungen und MeloTheme-Farben der UI-Politur
bleiben erhalten, der Datenschutz-Abschnitt fuegt sich ein. Im CHANGELOG
kollidierten beide Seiten am Kopf; beide Eintraege wurden behalten.

Tests: 340 gruen (main allein: 328), 12 neue in
test/settings/diagnose_opt_out_test.dart. Fuenf tragende Stellen per
Mutationsprobe geprueft. flutter analyze: keine Befunde.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01QbuWT267W8rFDsaavANuEn

BACKLOG.md

@@ -28,8 +28,19 @@ den nächsten Bibliotheks-Scan damit überlebt.
 | `http.runWithClient` erreicht den State im Modal-Sheet nicht | ❌ widerlegt — eigene Sonde zeigt `MockClient` auch im Sheet |
 | drift unter `testWidgets` blockiert (fehlendes `runAsync`) | ❌ widerlegt — `upsertSongs` + `watchSongs().first` laufen durch |
 | Einer der Provider blockiert `pumpWidget` | ❌ widerlegt — `MeloDb`, `CategoryService`, `AppSettings` einzeln geprüft |
+| `db.close()` im Teardown (der Hänger aus `hauptmenue_test.dart`) | ❌ widerlegt — Entfernen ändert nichts, siehe unten |
 | Zusammenspiel `showModalBottomSheet` + Providerbaum | ⏳ offen — der Hänger tritt zwischen `pumpWidget` und dem ersten `tap` auf |
 
+**Nicht die Ursache (2026-08-21 geprüft):** In `hauptmenue_test.dart` trat ein
+Hänger mit derselben Signatur auf. Dort war die Ursache `await db.close()`
+nach einem `tester.tap` — drift plant beim Schließen eine Aufräum-Aufgabe
+ein, die der Test-Rahmen nicht mehr abarbeitet. Das Rezept dagegen:
+Dienste per `.value` bereitstellen (der Baum darf sie nicht schließen), am
+Testende `pumpWidget(SizedBox())` + `pump(Duration(milliseconds: 1))`, und
+auf `db.close()` verzichten. **Bei `song_detail_sheet_test.dart` hilft genau
+das nicht** — dort wurde es angewandt und der Test hängt weiter. Die beiden
+Hänger haben also unterschiedliche Ursachen.
+
 **Nächster Schritt:** Den Testkörper schrittweise abspecken (Providerbaum
 minimieren, Sheet durch eine normale Route ersetzen) bis der Hänger
 verschwindet — die letzte entfernte Zutat ist die Ursache. Ein

CHANGELOG.md

@@ -5,6 +5,59 @@ Format angelehnt an [Keep a Changelog](https://keepachangelog.com/de/1.0.0/).
 
 ## [Unreleased]
 
+### 🏷️ Der zweite Tab heißt wieder „Download" (2026-08-21)
+
+- 📥 **Aus „Online" wird „Download".** Der Bereich behält seinen Inhalt
+  unverändert — YouTube-Downloader und Server-Bibliothek als Unterreiter.
+  Nur die Beschriftung im Hauptmenü ändert sich.
+  Die vier Bereiche heißen jetzt: **Meine Musik · Download · Suchen ·
+  Favoriten**.
+- ⬇️ **Passendes Symbol dazu.** Statt der Note steht wieder ein Download-Pfeil
+  im Menü — genau das Symbol, das der Tab schon einmal hatte, bevor er in
+  „Online" umbenannt wurde. Also nichts Neues erfunden, sondern der frühere
+  Stand wiederhergestellt.
+- 📄 **Auch die Überschrift im Bereich selbst zieht nach.** Sie stand noch auf
+  „Online" — ein Tab namens „Download", der auf einen Bildschirm namens
+  „Online" führt, wäre verwirrend gewesen.
+- ✅ **Getestet:** 328 Tests grün, `flutter analyze` ohne Befund.
+
+### 🧭 Hauptmenü wieder deutlich sichtbar (2026-08-21)
+
+**Zuerst die Entwarnung:** Es fehlt nichts und nichts ist verschoben. Alle
+vier Bereiche standen und stehen unten im Hauptmenü — `lib/main.dart` wurde
+von der UI-Politur überhaupt nicht angefasst.
+
+- 🐛 **Behoben: die Politur hatte das Menü abgeschwächt.** Zwei Fehler von
+  mir aus der letzten Runde:
+  - Ich hatte für **aktiv und inaktiv dieselbe Schriftgröße** (12) gesetzt.
+    Damit verlor der aktive Bereich den Größenunterschied (sonst 14 zu 12),
+    an dem man auf einen Blick erkennt, wo man ist.
+  - Die inaktiven Einträge liefen auf der **blassen Beiwerk-Stufe**. Ein
+    Hauptmenü ist kein Beiwerk — sie sind jetzt wieder kräftig.
+- ✨ **Zusätzlich deutlicher gemacht:**
+  - Eine **Haarlinie über dem Menü** — auf schwarzem Grund ging die Leiste
+    sonst optisch im Inhalt auf.
+  - Der aktive Bereich hat jetzt ein **gefülltes Symbol** (ausgefülltes Herz,
+    volle Note). Wer Rot schlecht sieht, erkennt trotzdem, wo er steht —
+    vorher unterschied nur die Farbe.
+  - Der aktive Eintrag ist fetter gesetzt.
+- 🔒 **Damit das keine Politur mehr abschwächen kann:** ein neuer Test prüft,
+  dass alle vier Bereiche vorhanden **und auf dem Bildschirm** sind, dass das
+  Menü am unteren Rand klebt, dass jeder Tipp dorthin wechselt, und dass der
+  aktive Bereich sich nicht nur durch Farbe abhebt.
+- 🔧 **Details für Technikinteressierte:**
+  - Neu: `test/hauptmenue_test.dart` (10 Prüfungen).
+  - `bottomNavigationBarTheme`: keine feste `fontSize` mehr (damit Flutters
+    14/12 gelten), `unselectedItemColor` von `text3` auf `text2`,
+    `showUnselectedLabels` ausdrücklich gesetzt.
+  - Beim Schreiben des Tests ist eine **Test-Falle** aufgefallen und gelöst:
+    `await db.close()` nach einem `tester.tap` lässt den Testlauf
+    **unbegrenzt hängen**. Rezept dagegen steht im Test und in `BACKLOG.md`.
+    Beim schon bekannten Hänger in `song_detail_sheet_test.dart` hilft es
+    allerdings nicht — dort ist die Ursache eine andere, jetzt ebenfalls im
+    Backlog vermerkt.
+- ✅ **Getestet:** 328 Tests grün (10 neue), `flutter analyze` ohne Befund.
+
 ### ✨ UI-Politur: Kontrast, Abstände, Typografie, Bewegung (2026-08-21)
 
 Kein neues Design — dasselbe Melo in sauber. Schwarz/Rot, die vier Tabs und
@@ -58,6 +111,38 @@ Lieder/Kategorie bleiben unverändert.
     (Material 3: 48 dp, Theme über `context`) und die Token-Disziplin aus
     **Hue** (Primitives → benannte Rollen).
 - ✅ **Getestet:** 318 Tests grün (23 neue), `flutter analyze` ohne Befund.
+### 🛡️ Fehlerberichte nur noch mit Zustimmung (Opt-in) (2026-08-21)
+- **Neu: Schalter „Fehlerberichte senden"** in den Einstellungen unter
+  *Datenschutz*. Bisher lud `LoggerService` jeden Fehler unbedingt zu
+  `logs.baka-net.de` hoch — es gab **keine** Möglichkeit, das abzustellen.
+- Aus heißt wirklich aus: Die Sperre sitzt an der einzigen Stelle, durch die
+  jeder Upload läuft. Lokales Protokollieren (`debugPrint`) bleibt unberührt,
+  aber nichts verlässt mehr das Gerät. Der Puffer wird dabei geleert, damit er
+  im Dauerbetrieb nicht unbegrenzt wächst.
+- Die Entscheidung **überlebt den Neustart**: `AppSettings` speichert sie, und
+  `LoggerService` liest sie beim Start zusätzlich selbst — denn `main()`
+  startet den Logger, *bevor* die Einstellungen geladen sind, und schon dieses
+  Zeitfenster darf bei Widerspruch nichts senden.
+- Hintergrund: Übertragung eines Befunds aus dem Security-Audit der alten
+  Melo-App. Dort gab es den Schalter zwar, er hatte aber keine Wirkung über
+  einen Neustart hinaus — die Anzeige stand auf „aus", gesendet wurde weiter.
+  Hier ist das strukturell ausgeschlossen und durch Tests festgehalten.
+- **Der Standard ist AUS.** Ohne ausdrückliche Zustimmung verlässt kein
+  Fehlerbericht das Gerät — auch nicht beim allerersten Start, bevor die
+  Einstellungen jemals geöffnet wurden. Wer Berichte senden möchte, schaltet
+  den Regler bewusst an.
+- Tests: 12 neue in `test/settings/diagnose_opt_out_test.dart` (**340 gesamt**,
+  vorher 328). Fünf tragende Stellen per Mutationsprobe geprüft — ohne Sperre,
+  ohne Durchreichen an den Logger, ohne Lesen beim Start und mit wieder auf
+  „an" gedrehtem Standard (je einmal im Logger und in den Einstellungen) fallen
+  jeweils genau die zuständigen Tests um.
+- Für die Testbarkeit bekam `LoggerService` einen injizierbaren HTTP-Client
+  (gleiches Muster wie `BakaAuth`), damit sich belegen lässt, dass ohne
+  Zustimmung wirklich **kein** Request rausgeht.
+
+> Auswirkung auf bestehende Installationen: Wer bisher (unfreiwillig) Berichte
+> gesendet hat, sendet ab diesem Update keine mehr, bis er zustimmt. Das ist so
+> gewollt — die Zustimmung wurde nie eingeholt.
 
 ### 📋 Backlog-Datei angelegt (2026-08-21)
 - Neu: `BACKLOG.md` — bewusst zurückgestellte Punkte an einer Stelle, damit

lib/downloads/downloads_screen.dart

@@ -18,7 +18,8 @@ import '../shared/sub_tabs.dart';
 import 'download_einordnung.dart';
 import '../shared/theme.dart';
 
-/// Online-Tab: durchsucht den verbundenen Navidrome-Server. Abgespielte
+/// Download-Tab: YouTube-Downloader und der verbundene Navidrome-Server
+/// (Unterreiter). Abgespielte
 /// Titel werden vom [MeloAudioHandler] automatisch lokal zwischengespeichert
 /// und stehen danach offline zur Verfügung.
 class DownloadsScreen extends StatefulWidget {
@@ -42,7 +43,7 @@ class _DownloadsScreenState extends State<DownloadsScreen> {
             padding: EdgeInsets.fromLTRB(20, 16, 20, 4),
             child: Align(
               alignment: Alignment.centerLeft,
-              child: Text('Online',
+              child: Text('Download',
                   style: TextStyle(fontSize: 24, fontWeight: FontWeight.w700)),
             ),
           ),

lib/main.dart

@@ -176,18 +176,29 @@ class _HomeShellState extends State<HomeShell> with WidgetsBindingObserver {
           const MiniPlayer(),
         ],
       ),
-      bottomNavigationBar: BottomNavigationBar(
+      // Haarlinie darüber: ohne sie geht die Leiste auf schwarzem Grund
+      // optisch im Inhalt auf und wirkt nicht wie ein Hauptmenü.
+      bottomNavigationBar: DecoratedBox(
+        decoration: const BoxDecoration(
+          border: Border(top: BorderSide(color: MeloTheme.border)),
+        ),
+        child: BottomNavigationBar(
         currentIndex: _index,
         onTap: _goTo,
         items: const [
           BottomNavigationBarItem(
               icon: Icon(Icons.headphones), label: 'Meine Musik'),
           BottomNavigationBarItem(
-              icon: Icon(Icons.music_note_outlined), label: 'Online'),
+              icon: Icon(Icons.download_outlined),
+              activeIcon: Icon(Icons.download),
+              label: 'Download'),
           BottomNavigationBarItem(icon: Icon(Icons.search), label: 'Suchen'),
           BottomNavigationBarItem(
-              icon: Icon(Icons.favorite_border), label: 'Favoriten'),
+              icon: Icon(Icons.favorite_border),
+              activeIcon: Icon(Icons.favorite),
+              label: 'Favoriten'),
         ],
+        ),
       ),
     );
   }

lib/services/logger_service.dart

@@ -2,6 +2,7 @@ import 'package:flutter/foundation.dart';
 import 'package:http/http.dart' as http;
 import 'dart:convert';
 import 'dart:io';
+import 'package:shared_preferences/shared_preferences.dart';
 
 class LogEntry {
   final String level; // DEBUG, INFO, WARNING, ERROR
@@ -32,12 +33,39 @@ class LogEntry {
 
 /// Centralized Logging Service mit Auto-Upload zu Server
 class LoggerService extends ChangeNotifier {
+  /// [client] nur für Tests: erlaubt zu prüfen, dass bei Widerspruch des
+  /// Nutzers wirklich KEIN Request das Gerät verlässt.
+  LoggerService({http.Client? client}) : _client = client ?? http.Client();
+
+  final http.Client _client;
+
   static const String _logServerUrl = 'https://logs.baka-net.de/api/logs';
   static const int _batchSize = 5;
 
+  /// Schlüssel der Diagnose-Entscheidung in den SharedPreferences.
+  /// Liegt hier und nicht in AppSettings, damit der Logger ihn ohne
+  /// Rückwärts-Abhängigkeit selbst lesen kann.
+  static const String diagnoseKey = 'diagnose_daten';
+
   final List<LogEntry> _logs = [];
   late final String _deviceModel;
   bool _initialized = false;
+  // Opt-in: standardmäßig AUS. Ohne ausdrückliche Zustimmung des Nutzers
+  // verlässt kein Log das Gerät.
+  bool _sendeDiagnosedaten = false;
+
+  /// Steuert, ob Logs den Server erreichen. Opt-in: ohne ausdrückliche
+  /// Zustimmung bleibt der Versand aus. Lokales `debugPrint` läuft
+  /// unabhängig davon weiter — nur der Versand wird unterbunden.
+  /// [AppSettings] hält den Wert persistent und schiebt Änderungen hierher.
+  bool get sendeDiagnosedaten => _sendeDiagnosedaten;
+
+  set sendeDiagnosedaten(bool wert) {
+    if (_sendeDiagnosedaten == wert) return;
+    _sendeDiagnosedaten = wert;
+    // Bei Widerspruch nichts Aufgestautes zurückbehalten.
+    if (!wert) _logs.clear();
+  }
 
   Future<void> init() async {
     if (_initialized) return;
@@ -46,6 +74,17 @@ class LoggerService extends ChangeNotifier {
     _deviceModel = Platform.isAndroid
         ? 'android'
         : (Platform.isIOS ? 'ios' : Platform.operatingSystem);
+    // Die Einstellung wird hier direkt gelesen und nicht von AppSettings
+    // abgewartet: main() initialisiert den Logger VOR den Einstellungen, und
+    // schon dieses Zeitfenster darf nichts senden, wenn der Nutzer
+    // widersprochen hat.
+    try {
+      final prefs = await SharedPreferences.getInstance();
+      _sendeDiagnosedaten = prefs.getBool(diagnoseKey) ?? false;
+    } catch (_) {
+      // Nicht lesbar: beim bisherigen Verhalten bleiben.
+    }
+
     _initialized = true;
     debugPrint('✅ LoggerService initialized for $_deviceModel');
   }
@@ -61,8 +100,10 @@ class LoggerService extends ChangeNotifier {
   static String scrubText(String? roh) {
     if (roh == null || roh.isEmpty) return roh ?? '';
     var s = roh.replaceAllMapped(
-      RegExp(r'\b(user|username|benutzer|pw|pass|passwort|password|token|secret|url|serverurl)=([^\s&]+)',
-          caseSensitive: false),
+      RegExp(
+        r'\b(user|username|benutzer|pw|pass|passwort|password|token|secret|url|serverurl)=([^\s&]+)',
+        caseSensitive: false,
+      ),
       (m) => '${m.group(1)}=<redacted>',
     );
     s = s
@@ -87,17 +128,22 @@ class LoggerService extends ChangeNotifier {
   /// bleibt unberührt — die Maskierung greift nur auf dem Versand-Pfad.
   @visibleForTesting
   static Map<String, dynamic> sanitizedJson(LogEntry l) => {
-        'level': l.level,
-        'message': scrubText(l.message),
-        'stackTrace':
-            l.stackTrace == null ? null : capFrames(scrubText(l.stackTrace)),
-        'timestamp': l.timestamp.toIso8601String(),
-        'userAgent': l.userAgent,
-        'deviceModel': l.deviceModel,
-      };
+    'level': l.level,
+    'message': scrubText(l.message),
+    'stackTrace': l.stackTrace == null
+        ? null
+        : capFrames(scrubText(l.stackTrace)),
+    'timestamp': l.timestamp.toIso8601String(),
+    'userAgent': l.userAgent,
+    'deviceModel': l.deviceModel,
+  };
 
   /// Logge einen Fehler (wird sofort zum Server geschickt)
-  Future<void> error(String message, [Object? error, StackTrace? stackTrace]) async {
+  Future<void> error(
+    String message, [
+    Object? error,
+    StackTrace? stackTrace,
+  ]) async {
     final entry = LogEntry(
       level: 'ERROR',
       message: message,
@@ -146,19 +192,29 @@ class LoggerService extends ChangeNotifier {
 
   /// Hochladen der Logs zum Server
   Future<void> _uploadLogs() async {
+    // Opt-out des Nutzers: nichts verlässt das Gerät. Der Puffer wird
+    // trotzdem geleert, sonst wüchse er im Dauerbetrieb unbegrenzt.
+    if (!_sendeDiagnosedaten) {
+      _logs.clear();
+      return;
+    }
     if (_logs.isEmpty) return;
     try {
       final logsToUpload = List<LogEntry>.from(_logs);
-      await http.post(
-        Uri.parse(_logServerUrl),
-        headers: {'Content-Type': 'application/json'},
-        body: jsonEncode({
-          'logs': logsToUpload.map(sanitizedJson).toList(),
-          'timestamp': DateTime.now().toIso8601String(),
-        }),
-      ).timeout(const Duration(seconds: 10));
+      await _client
+          .post(
+            Uri.parse(_logServerUrl),
+            headers: {'Content-Type': 'application/json'},
+            body: jsonEncode({
+              'logs': logsToUpload.map(sanitizedJson).toList(),
+              'timestamp': DateTime.now().toIso8601String(),
+            }),
+          )
+          .timeout(const Duration(seconds: 10));
       _logs.clear();
-      debugPrint('✅ Logs uploaded successfully (${logsToUpload.length} entries)');
+      debugPrint(
+        '✅ Logs uploaded successfully (${logsToUpload.length} entries)',
+      );
     } catch (e) {
       debugPrint('⚠️ Failed to upload logs: $e');
     }

lib/settings/app_settings.dart

@@ -1,16 +1,21 @@
 import 'package:flutter/foundation.dart';
 import 'package:shared_preferences/shared_preferences.dart';
 
+import '../services/logger_service.dart';
+
 /// Nutzer-Einstellungen, die die ganze App betreffen. Werden beim Start
 /// einmal geladen und bei jeder Änderung sofort gespeichert.
 class AppSettings extends ChangeNotifier {
   static const _keyGroupCovers = 'gleiche_kategorie_gleiches_cover';
   static const _keyAutoPlayHeadphones = 'autoplay_kopfhoerer';
   static const _keyNormalizeVolume = 'gleiche_lautstaerke';
+  // Schlüssel gehört dem Logger — der liest ihn beim Start selbst.
+  static const _keyDiagnose = LoggerService.diagnoseKey;
 
   bool _groupCoversByCategory = true;
   bool _autoPlayOnHeadphones = false;
   bool _normalizeVolume = true;
+  bool _sendeDiagnosedaten = false;
 
   /// "Gleiche Kategorie = gleiches Coverbild" — an: das Cover kommt von der
   /// ersten Kategorie des Songs, aus: jeder Song zeigt sein eigenes Bild.
@@ -23,11 +28,20 @@ class AppSettings extends ChangeNotifier {
   /// auf das Niveau der leiseren abgesenkt.
   bool get normalizeVolume => _normalizeVolume;
 
+  /// Fehler- und Absturzberichte an logs.baka-net.de senden.
+  /// Opt-in: standardmäßig AUS. Die App protokolliert weiter lokal, aber
+  /// ohne Zustimmung verlässt nichts das Gerät.
+  bool get sendeDiagnosedaten => _sendeDiagnosedaten;
+
   Future<void> init() async {
     final prefs = await SharedPreferences.getInstance();
     _groupCoversByCategory = prefs.getBool(_keyGroupCovers) ?? true;
     _autoPlayOnHeadphones = prefs.getBool(_keyAutoPlayHeadphones) ?? false;
     _normalizeVolume = prefs.getBool(_keyNormalizeVolume) ?? true;
+    _sendeDiagnosedaten = prefs.getBool(_keyDiagnose) ?? false;
+    // An den Logger durchreichen, damit Anzeige und tatsächliches
+    // Sendeverhalten nicht auseinanderlaufen können.
+    logger.sendeDiagnosedaten = _sendeDiagnosedaten;
     notifyListeners();
   }
 
@@ -54,4 +68,13 @@ class AppSettings extends ChangeNotifier {
     final prefs = await SharedPreferences.getInstance();
     await prefs.setBool(_keyAutoPlayHeadphones, value);
   }
+
+  Future<void> setSendeDiagnosedaten(bool value) async {
+    if (_sendeDiagnosedaten == value) return;
+    _sendeDiagnosedaten = value;
+    logger.sendeDiagnosedaten = value;
+    notifyListeners();
+    final prefs = await SharedPreferences.getInstance();
+    await prefs.setBool(_keyDiagnose, value);
+  }
 }

lib/settings/settings_screen.dart

@@ -244,6 +244,18 @@ class _SettingsScreenState extends State<SettingsScreen> {
             ),
           ),
           const Divider(height: 1),
+          const _SectionLabel('Datenschutz'),
+          Consumer<AppSettings>(
+            builder: (context, settings, _) => SwitchListTile(
+              secondary: const Icon(Icons.shield_outlined),
+              title: const Text('Fehlerberichte senden'),
+              subtitle: const Text(
+                  'Standardmäßig aus. An: Absturzberichte helfen beim Beheben von Fehlern'),
+              value: settings.sendeDiagnosedaten,
+              onChanged: settings.setSendeDiagnosedaten,
+            ),
+          ),
+          const Divider(height: 1),
           const _SectionLabel('Über Melo'),
           const ListTile(
             leading: Icon(Icons.info_outline),

lib/shared/theme.dart

@@ -167,14 +167,21 @@ class MeloTheme {
               BorderRadius.vertical(top: Radius.circular(MeloRadius.sheet)),
         ),
       ),
+      // Das Hauptmenü. Es muss auf den ersten Blick als solches erkennbar
+      // sein — deshalb bewusst kräftiger als der übrige Beiwerk-Text:
+      // - text2 (72 %) statt der blassen dritten Stufe für die inaktiven
+      //   Einträge; sie sollen lesbar sein, nicht nur erahnbar.
+      // - KEINE fontSize hier: damit gelten Flutters Vorgaben von 14 (aktiv)
+      //   und 12 (inaktiv). Eine feste Größe für beide nahm dem aktiven
+      //   Reiter genau den Größenunterschied, an dem man ihn erkennt.
       bottomNavigationBarTheme: const BottomNavigationBarThemeData(
         backgroundColor: surface,
         selectedItemColor: red,
-        unselectedItemColor: text3,
+        unselectedItemColor: text2,
         type: BottomNavigationBarType.fixed,
-        selectedLabelStyle:
-            TextStyle(fontSize: 12, fontWeight: FontWeight.w600),
-        unselectedLabelStyle: TextStyle(fontSize: 12),
+        showUnselectedLabels: true,
+        selectedLabelStyle: TextStyle(fontWeight: FontWeight.w700),
+        unselectedLabelStyle: TextStyle(fontWeight: FontWeight.w500),
       ),
     );
   }

test/downloads/online_screen_test.dart

@@ -87,7 +87,7 @@ void main() {
     await db.close();
   });
 
-  testWidgets('Online-Tab hat die Unterreiter YouTube und Server',
+  testWidgets('Download-Tab hat die Unterreiter YouTube und Server',
       (tester) async {
     final auth =
         BakaAuth(client: MockClient((_) async => http.Response('', 500)),

test/hauptmenue_test.dart

@@ -0,0 +1,208 @@
+import 'package:drift/native.dart';
+import 'package:flutter/material.dart';
+import 'package:flutter_test/flutter_test.dart';
+import 'package:melo/library/category_service.dart';
+import 'package:melo/library/database.dart';
+import 'package:melo/library/library_service.dart';
+import 'package:melo/library/playlist_service.dart';
+import 'package:melo/main.dart';
+import 'package:melo/player/audio_handler.dart';
+import 'package:melo/services/baka_auth.dart';
+import 'package:melo/services/melo_cloud_service.dart';
+import 'package:melo/services/offline_mode.dart';
+import 'package:melo/services/sync_service.dart';
+import 'package:melo/services/yt_download_service.dart';
+import 'package:melo/settings/app_settings.dart';
+import 'package:melo/shared/theme.dart';
+import 'package:provider/provider.dart';
+import 'package:shared_preferences/shared_preferences.dart';
+
+class _MemorySpeicher implements TokenSpeicher {
+  final Map<String, String> werte = {};
+  @override
+  Future<String?> lesen(String key) async => werte[key];
+  @override
+  Future<void> schreiben(String key, String wert) async => werte[key] = wert;
+  @override
+  Future<void> loeschen(String key) async => werte.remove(key);
+}
+
+/// Die vier Bereiche des Hauptmenüs, in dieser Reihenfolge.
+const hauptmenue = ['Meine Musik', 'Download', 'Suchen', 'Favoriten'];
+
+void main() {
+  late MeloDb db;
+  late CategoryService kategorien;
+  late LibraryService bibliothek;
+  late PlaylistService listen;
+  late BakaAuth auth;
+  late AppSettings einstellungen;
+  late OfflineMode offline;
+  late YtDownloadService ytDownload;
+  late SyncService sync;
+  MeloAudioHandler? handler;
+
+  setUp(() {
+    SharedPreferences.setMockInitialValues({});
+    db = MeloDb(NativeDatabase.memory());
+    kategorien = CategoryService(db);
+    bibliothek = LibraryService(db);
+    listen = PlaylistService(db);
+    auth = BakaAuth(speicher: _MemorySpeicher());
+    einstellungen = AppSettings();
+    offline = OfflineMode();
+    ytDownload = YtDownloadService(auth: auth);
+    sync = SyncService(db: db, cloud: MeloCloudService(auth: auth));
+  });
+
+  tearDown(() {
+    kategorien.dispose();
+    handler?.dispose();
+    // Bewusst kein db.close(): drift plant beim Schließen eine Aufräum-
+    // Aufgabe ein, die im Test-Rahmen nach einem tester.tap nie mehr an die
+    // Reihe kommt — der Lauf hinge dann unbegrenzt. Die Datenbank liegt nur
+    // im Arbeitsspeicher und verschwindet mit dem Testprozess.
+  });
+
+  // Alle Dienste gehören dem Test und werden per .value gereicht. Würde der
+  // Widget-Baum sie beim Abbauen selbst schließen, bliebe ein Aufräum-Timer
+  // von drift im Test-Rahmen hängen — und ein anschließendes db.close()
+  // käme gar nicht mehr zurück (der Testlauf hinge unbegrenzt).
+  Widget bauen() {
+    // Der Audio-Handler erst hier: sein Zwischenspeicher greift auf einen
+    // Plattform-Kanal zu, den es im setUp noch nicht gibt.
+    handler ??= MeloAudioHandler(db: db);
+    return MultiProvider(
+      providers: [
+        Provider<MeloDb>.value(value: db),
+        ChangeNotifierProvider<LibraryService>.value(value: bibliothek),
+        ChangeNotifierProvider<PlaylistService>.value(value: listen),
+        Provider<MeloAudioHandler>.value(value: handler!),
+        ChangeNotifierProvider<CategoryService>.value(value: kategorien),
+        ChangeNotifierProvider<AppSettings>.value(value: einstellungen),
+        ChangeNotifierProvider<OfflineMode>.value(value: offline),
+        ChangeNotifierProvider<BakaAuth>.value(value: auth),
+        ChangeNotifierProvider<YtDownloadService>.value(value: ytDownload),
+        ChangeNotifierProvider<SyncService>.value(value: sync),
+      ],
+      child: MaterialApp(theme: MeloTheme.dark, home: const HomeShell()),
+    );
+  }
+
+  /// Baut den Baum ab und beendet die laufenden Timer.
+  ///
+  /// Muss im Testkörper passieren, nicht im tearDown: der Positions-Timer
+  /// des Audio-Handlers läuft periodisch, und der Test-Rahmen prüft am Ende
+  /// des Körpers, ob noch Timer offen sind.
+  Future<void> abbauen(WidgetTester tester) async {
+    await tester.pumpWidget(const SizedBox());
+    handler?.dispose();
+    handler = null;
+    // Die Zeit ein Stück vorstellen: beim Abbauen melden sich die
+    // Datenbank-Ströme ab und planen dafür eine Aufräum-Aufgabe ein. Ein
+    // pump() ohne Dauer lässt sie liegen, und der Test-Rahmen meldet dann
+    // einen offenen Timer.
+    await tester.pump(const Duration(milliseconds: 1));
+  }
+
+  Finder eintrag(String name) => find.descendant(
+        of: find.byType(BottomNavigationBar),
+        matching: find.text(name),
+      );
+
+  testWidgets('alle vier Bereiche stehen im Hauptmenü', (tester) async {
+    await tester.pumpWidget(bauen());
+    await tester.pump();
+
+    final leiste =
+        tester.widget<BottomNavigationBar>(find.byType(BottomNavigationBar));
+    expect(leiste.items.map((i) => i.label).toList(), hauptmenue);
+
+    await abbauen(tester);
+  });
+
+  testWidgets('jeder Bereich ist beschriftet und liegt auf dem Bildschirm',
+      (tester) async {
+    await tester.pumpWidget(bauen());
+    await tester.pump();
+
+    final bildschirm = tester.view.physicalSize / tester.view.devicePixelRatio;
+    for (final name in hauptmenue) {
+      expect(eintrag(name), findsOneWidget, reason: '"$name" fehlt im Menü');
+
+      // Vorhanden genügt nicht — ein Eintrag außerhalb des Bildschirms oder
+      // ohne Ausdehnung wäre für den Nutzer nicht da.
+      final kasten = tester.getRect(eintrag(name));
+      expect(kasten.width, greaterThan(0), reason: '"$name" ohne Breite');
+      expect(kasten.height, greaterThan(0), reason: '"$name" ohne Höhe');
+      expect(kasten.bottom, lessThanOrEqualTo(bildschirm.height),
+          reason: '"$name" liegt unterhalb des Bildschirms');
+      expect(kasten.top, greaterThanOrEqualTo(0),
+          reason: '"$name" liegt oberhalb des Bildschirms');
+    }
+
+    await abbauen(tester);
+  });
+
+  for (var i = 1; i < hauptmenue.length; i++) {
+    final ziel = i;
+    testWidgets('Tipp auf "${hauptmenue[ziel]}" wechselt dorthin',
+        (tester) async {
+      await tester.pumpWidget(bauen());
+      await tester.pump();
+
+      await tester.tap(eintrag(hauptmenue[ziel]));
+      await tester.pump();
+
+      expect(
+        tester
+            .widget<BottomNavigationBar>(find.byType(BottomNavigationBar))
+            .currentIndex,
+        ziel,
+      );
+
+      await abbauen(tester);
+    });
+  }
+
+  testWidgets('das Hauptmenü klebt am unteren Rand', (tester) async {
+    // Läge es woanders, wäre es kein Hauptmenü mehr.
+    await tester.pumpWidget(bauen());
+    await tester.pump();
+
+    final menue = tester.getRect(find.byType(BottomNavigationBar));
+    final bildschirm = tester.view.physicalSize / tester.view.devicePixelRatio;
+    expect(menue.bottom, closeTo(bildschirm.height, 1));
+
+    await abbauen(tester);
+  });
+
+  group('Darstellung des Hauptmenüs', () {
+    // Reine Theme-Prüfungen — kein Widget-Baum nötig.
+    final menue = MeloTheme.dark.bottomNavigationBarTheme;
+
+    test('der aktive Bereich hebt sich ab — nicht nur durch Farbe', () {
+      // Wer Rot schlecht sieht, muss trotzdem erkennen, wo er ist.
+      expect(menue.selectedItemColor, MeloTheme.red);
+      expect(menue.selectedLabelStyle!.fontWeight, FontWeight.w700);
+      expect(menue.unselectedLabelStyle!.fontWeight, FontWeight.w500);
+    });
+
+    test('keine feste Schriftgröße — sonst verschwindet der Unterschied', () {
+      // Ohne Angabe gelten Flutters 14 (aktiv) und 12 (inaktiv). Beide auf
+      // 12 zu setzen nahm dem aktiven Reiter genau dieses Merkmal.
+      expect(menue.selectedLabelStyle!.fontSize, isNull);
+      expect(menue.unselectedLabelStyle!.fontSize, isNull);
+    });
+
+    test('die inaktiven Einträge sind lesbar, nicht nur erahnbar', () {
+      // text3 ist die Beiwerk-Stufe. Ein Hauptmenü ist kein Beiwerk.
+      expect(menue.unselectedItemColor, MeloTheme.text2);
+    });
+
+    test('die Beschriftungen bleiben auch bei inaktiven Einträgen stehen', () {
+      // Ohne sie müsste man die Symbole raten.
+      expect(menue.showUnselectedLabels, isTrue);
+    });
+  });
+}

test/home_shell_test.dart

@@ -30,7 +30,7 @@ void main() {
   setUp(() => SharedPreferences.setMockInitialValues({}));
 
   testWidgets('Untere Navigation folgt der Referenz-UI: '
-      'Meine Musik, Online, Suchen, Favoriten', (tester) async {
+      'Meine Musik, Download, Suchen, Favoriten', (tester) async {
     final db = MeloDb(NativeDatabase.memory());
     final lib = LibraryService(db);
     final playlists = PlaylistService(db);
@@ -60,7 +60,7 @@ void main() {
     final bar = tester.widget<BottomNavigationBar>(
         find.byType(BottomNavigationBar));
     expect(bar.items.map((i) => i.label).toList(),
-        ['Meine Musik', 'Online', 'Suchen', 'Favoriten']);
+        ['Meine Musik', 'Download', 'Suchen', 'Favoriten']);
 
     handler.dispose();
     await db.close();

test/settings/diagnose_opt_out_test.dart

@@ -0,0 +1,206 @@
+import 'package:flutter_test/flutter_test.dart';
+import 'package:http/testing.dart';
+import 'package:http/http.dart' as http;
+import 'package:melo/services/logger_service.dart';
+import 'package:melo/settings/app_settings.dart';
+import 'package:shared_preferences/shared_preferences.dart';
+
+/// Übertragung eines Befunds aus dem Security-Audit der alten Melo-App
+/// (21.08.2026): Dort stand die Diagnose-Einstellung in einer statischen
+/// Variablen mit Default `true`, die beim Start nie aus den Einstellungen
+/// gefüllt wurde — ein Opt-out überlebte keinen Neustart, während der
+/// Schalter weiterhin "aus" anzeigte.
+///
+/// Hier wird festgehalten, dass genau das nicht passieren kann.
+void main() {
+  TestWidgetsFlutterBinding.ensureInitialized();
+
+  // Opt-in ist der Ruhezustand: nach jedem Test wieder aus.
+  tearDown(() => logger.sendeDiagnosedaten = false);
+
+  group('AppSettings.init', () {
+    test('übernimmt ein gespeichertes Opt-out und reicht es an den Logger', () async {
+      SharedPreferences.setMockInitialValues({LoggerService.diagnoseKey: false});
+      logger.sendeDiagnosedaten = true; // Zustand nach frischem App-Start
+
+      final settings = AppSettings();
+      await settings.init();
+
+      expect(settings.sendeDiagnosedaten, isFalse);
+      expect(logger.sendeDiagnosedaten, isFalse,
+          reason: 'Anzeige und Sendeverhalten dürfen nicht auseinanderlaufen');
+    });
+
+    test('ohne gespeicherte Entscheidung bleibt der Versand AUS (Opt-in)', () async {
+      SharedPreferences.setMockInitialValues({});
+      logger.sendeDiagnosedaten = true; // absichtlich "falsch" vorbelegt
+
+      final settings = AppSettings();
+      await settings.init();
+
+      expect(settings.sendeDiagnosedaten, isFalse,
+          reason: 'Ohne ausdrueckliche Zustimmung darf nichts gesendet werden');
+      expect(logger.sendeDiagnosedaten, isFalse);
+    });
+
+    test('eine gespeicherte Zustimmung wird respektiert', () async {
+      SharedPreferences.setMockInitialValues({LoggerService.diagnoseKey: true});
+
+      final settings = AppSettings();
+      await settings.init();
+
+      expect(settings.sendeDiagnosedaten, isTrue);
+      expect(logger.sendeDiagnosedaten, isTrue);
+    });
+
+    test('eine erteilte Zustimmung überlebt den Neustart', () async {
+      SharedPreferences.setMockInitialValues({});
+      final ersteSitzung = AppSettings();
+      await ersteSitzung.init();
+      await ersteSitzung.setSendeDiagnosedaten(true);
+
+      // Neustart: neue Instanzen, gleiche Ablage.
+      logger.sendeDiagnosedaten = false;
+      final zweiteSitzung = AppSettings();
+      await zweiteSitzung.init();
+
+      expect(zweiteSitzung.sendeDiagnosedaten, isTrue);
+      expect(logger.sendeDiagnosedaten, isTrue);
+    });
+
+    test('ein Widerruf überlebt den Neustart', () async {
+      SharedPreferences.setMockInitialValues({LoggerService.diagnoseKey: true});
+      final ersteSitzung = AppSettings();
+      await ersteSitzung.init();
+      await ersteSitzung.setSendeDiagnosedaten(false);
+
+      logger.sendeDiagnosedaten = true;
+      final zweiteSitzung = AppSettings();
+      await zweiteSitzung.init();
+
+      expect(zweiteSitzung.sendeDiagnosedaten, isFalse);
+      expect(logger.sendeDiagnosedaten, isFalse);
+    });
+  });
+
+  group('AppSettings.setSendeDiagnosedaten', () {
+    test('schaltet den Logger sofort um und speichert', () async {
+      SharedPreferences.setMockInitialValues({});
+      final settings = AppSettings();
+      await settings.init();
+      // Ausgangspunkt ist jetzt AUS (Opt-in), also zuerst zustimmen.
+      expect(settings.sendeDiagnosedaten, isFalse);
+
+      await settings.setSendeDiagnosedaten(true);
+      expect(logger.sendeDiagnosedaten, isTrue);
+
+      final prefs = await SharedPreferences.getInstance();
+      expect(prefs.getBool(LoggerService.diagnoseKey), isTrue);
+
+      await settings.setSendeDiagnosedaten(false);
+      expect(logger.sendeDiagnosedaten, isFalse);
+      expect(prefs.getBool(LoggerService.diagnoseKey), isFalse);
+    });
+
+    test('benachrichtigt Zuhörer', () async {
+      SharedPreferences.setMockInitialValues({});
+      final settings = AppSettings();
+      await settings.init();
+
+      var rufe = 0;
+      settings.addListener(() => rufe++);
+      await settings.setSendeDiagnosedaten(true);
+      await settings.setSendeDiagnosedaten(true); // unverändert → kein Ruf
+
+      expect(rufe, 1);
+    });
+  });
+
+  group('LoggerService – Versand-Sperre', () {
+    /// Der Kern des Opt-outs: bei Widerspruch darf KEIN Request das Gerät
+    /// verlassen. Ohne diesen Test wäre genau die Sperre ungeprüft.
+    test('sendet nichts, wenn der Nutzer widersprochen hat', () async {
+      SharedPreferences.setMockInitialValues({LoggerService.diagnoseKey: false});
+      var requests = 0;
+      final dienst = LoggerService(
+        client: MockClient((_) async {
+          requests++;
+          return http.Response('{}', 200);
+        }),
+      );
+      await dienst.init();
+
+      await dienst.error('Absturz mit Details');
+      await dienst.flush();
+
+      expect(requests, 0, reason: 'Bei Opt-out darf nichts hochgeladen werden');
+      expect(dienst.logCount, 0, reason: 'Puffer darf nicht unbegrenzt wachsen');
+    });
+
+    test('sendet, wenn der Nutzer zugestimmt hat', () async {
+      SharedPreferences.setMockInitialValues({LoggerService.diagnoseKey: true});
+      var requests = 0;
+      final dienst = LoggerService(
+        client: MockClient((_) async {
+          requests++;
+          return http.Response('{}', 200);
+        }),
+      );
+      await dienst.init();
+
+      await dienst.error('Absturz mit Details');
+
+      expect(requests, greaterThan(0));
+    });
+
+    test('das Umschalten auf aus stoppt den Versand sofort', () async {
+      SharedPreferences.setMockInitialValues({LoggerService.diagnoseKey: true});
+      var requests = 0;
+      final dienst = LoggerService(
+        client: MockClient((_) async {
+          requests++;
+          return http.Response('{}', 200);
+        }),
+      );
+      await dienst.init();
+      dienst.sendeDiagnosedaten = false;
+
+      await dienst.error('Absturz nach dem Abschalten');
+      await dienst.flush();
+
+      expect(requests, 0);
+    });
+  });
+
+  group('LoggerService.init', () {
+    test('liest das Opt-out selbst, ohne auf AppSettings zu warten', () async {
+      // main() initialisiert den Logger VOR den Einstellungen — auch dieses
+      // Zeitfenster darf nichts senden.
+      SharedPreferences.setMockInitialValues({LoggerService.diagnoseKey: false});
+
+      final eigener = LoggerService();
+      await eigener.init();
+
+      expect(eigener.sendeDiagnosedaten, isFalse);
+    });
+
+    test('ein frischer Logger sendet ohne gespeicherte Zustimmung nicht', () async {
+      SharedPreferences.setMockInitialValues({});
+      var requests = 0;
+      final dienst = LoggerService(
+        client: MockClient((_) async {
+          requests++;
+          return http.Response('{}', 200);
+        }),
+      );
+      await dienst.init();
+
+      await dienst.error('Absturz beim allerersten Start');
+      await dienst.flush();
+
+      expect(dienst.sendeDiagnosedaten, isFalse);
+      expect(requests, 0,
+          reason: 'Erststart ohne Zustimmung darf nichts hochladen');
+    });
+  });
+}