feat(logos): Provider-Kette, lokaler Cache und Markenfarben

- simple-icons als kompakter Index im Repository (3.459 Marken, 2 MB gzip),
  erzeugt von scripts/vendor_simple_icons.py bzw. `make vendor-icons`
- logo.dev und Brandfetch als optionale Adapter, ohne Schlüssel übersprungen
- Favicon-Fallback und generierter Buchstaben-Avatar als Garantie
- Bei eindeutigem Offline-Treffer unterbleiben Anfragen nach außen komplett
- Cache im Dateisystem nach SHA-256, Auslieferung nur über /api/logos/{id}
  mit immutable-Header und ETag
- Markenfarbe aus SVG-Fills bzw. per k-Means (k=4) über 64x64 Pixel, dazu eine
  aufgehellte Variante mit mindestens 4,5:1 Kontrast auf dunklem Grund
- Kandidatensuche mit Vorauswahl, Auswahl, Upload und Zurücksetzen
- Bildtyp wird nur noch am Inhalt bestimmt, nicht an der gemeldeten Kopfzeile
- 60 neue Tests, insgesamt 208 grün

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014e7t8UpmoVNMtWivY5LiSH

CHANGELOG.md

@@ -51,7 +51,24 @@ die Versionierung folgt [Semantic Versioning](https://semver.org/lang/de/).
   Rücklagen und Vergleich zum Vormonat.
 - Vollständig annotiertes OpenAPI-Dokument unter `/api/docs`.
 
+- Logo-Service mit fünfstufiger Provider-Kette: lokal gevendorte simple-icons
+  (3.459 Marken, rund 2 MB), logo.dev und Brandfetch bei gesetztem Schlüssel,
+  Favicon-Fallback und generierter Buchstaben-Avatar als Garantie.
+- Logo-Cache im Dateisystem, benannt nach dem SHA-256 des Inhalts; Auslieferung
+  ausschließlich über `GET /api/logos/{id}` mit `immutable`-Cache-Header und
+  ETag-Unterstützung.
+- Ermittlung der Markenfarbe: bei SVG aus den `fill`-Attributen, bei
+  Rastergrafiken per k-Means über 64×64 Pixel; dazu eine im HSL-Raum aufgehellte
+  Variante, die gegen den dunklen Hintergrund mindestens 4,5:1 Kontrast erreicht.
+- Auswahldialog-Endpunkte: Kandidatensuche mit Vorauswahl, Übernahme eines
+  Kandidaten, Upload (SVG/PNG/JPEG bis 1 MB) und Zurücksetzen.
+- Die Logosuche läuft nach dem Anlegen einer Firma im Hintergrund; der Aufruf
+  antwortet sofort.
+- `make vendor-icons` erzeugt den simple-icons-Index neu.
+
 ### Geändert
 
 - `SECRET_KEY` muss mindestens 32 Zeichen lang sein (Vorgabe von HS256); in
   Produktion wird der Platzhalterwert beim Start abgelehnt.
+- Der Bildtyp eines Uploads wird ausschließlich am Inhalt bestimmt; die vom
+  Aufrufer gemeldete Kopfzeile wird nicht mehr als Nachweis akzeptiert.