fix: Admin-Link in der Navigation zeigen

Nach dem Login landet jeder Nutzer (auch ein Admin, jeder Login gehört
zu einem Account) auf der normalen Startseite — ohne einen Link zu
/admin in der Navigation war der Admin-Bereich für einen Admin ohne
die URL im Kopf praktisch unerreichbar (genau das hat der Nutzer nach
dem Login gemeldet).

navData{IsAdmin} wird jetzt von jeder angemeldeten Seite (Start,
Beiträge, Beitrag-Detail, alle Admin-Seiten) an den gemeinsamen
"nav"-Template-Block durchgereicht; der Link erscheint nur für
role=admin. Test deckt beide Fälle ab (Admin sieht den Link, Mandant
nicht).

internal/web/admin_handlers_test.go

@@ -40,6 +40,28 @@ func TestAdminDashboardAccessibleForAdmin(t *testing.T) {
 	}
 }
 
+// TestNavShowsAdminLinkOnlyForAdmins deckt genau den gemeldeten Fall ab:
+// nach der Anmeldung als Admin landet man auf der normalen Startseite
+// (jeder Nutzer hat einen Account+Login, auch ein Admin) — ohne einen
+// sichtbaren Weg zu /admin wäre der Admin-Bereich für einen Admin, der
+// die URL nicht auswendig kennt, praktisch unerreichbar.
+func TestNavShowsAdminLinkOnlyForAdmins(t *testing.T) {
+	fs := newFakeStore()
+	s := newServer(t, fakeExtractor{}, fs)
+	adminCookie := seedAccountWithRole(t, fs, "Deklarix Admin", "admin@example.com", "admin")
+	tenantCookie := seedAccount(t, fs, "Mandant", "mandant@example.com")
+
+	adminResp := getWithCookie(t, s, adminCookie, "/")
+	if !strings.Contains(adminResp.Body.String(), `href="/admin"`) {
+		t.Errorf("expected an /admin nav link for an admin user, got: %s", adminResp.Body.String())
+	}
+
+	tenantResp := getWithCookie(t, s, tenantCookie, "/")
+	if strings.Contains(tenantResp.Body.String(), `href="/admin"`) {
+		t.Errorf("expected no /admin nav link for a non-admin user, got: %s", tenantResp.Body.String())
+	}
+}
+
 func TestAdminAccountListShowsAllAccountsAcrossTenants(t *testing.T) {
 	fs := newFakeStore()
 	s := newServer(t, fakeExtractor{}, fs)