feat(workspace): one global switcher anchor in the shell sidebar

The switcher used to be embedded per page (Flows/Runs/Audit/
Approvals) — invisible on the other five pages and sitting in a
different corner depending on the page (persona review 2026-08-27,
consensus finding). It now lives ONCE in the sidebar, above the
destinations: active project/area always visible, opens the same
menu everywhere, Cmd+P from anywhere. The shell listens to the
workspace, so the sidebar endpoint label can no longer lag a
sealed switch until the next health tick.

Also in this rebuild:

* Stopped sealed areas ask before starting ("Start area X?") —
  a context switch must never boot a hub daemon as a click
  side-effect; running areas keep switching with one click.
* The switcher tooltip told a wrong scope ("filters this view") —
  it now says the choice applies everywhere and stamps new runs.
* The aggregated sealed row explains itself in place (names can
  reveal client identities) and links to the Settings toggle
  (Settings dialog gained an initialCategory jump).
* The active entry carries a checkmark in the menu.
* The Cmd+K palette knows projects and areas, ranked by recent
  use; sealed names honour the privacy setting — while hidden,
  the palette offers the guarded picker instead of the names.
* The runs empty state names the active project filter as the
  cause ("No runs in project X" + show-all action) instead of
  claiming the feature is off.

Tests updated to the anchor and made hermetic (scriptable
projects on the fake hub, sealed-area fake); new coverage for the
checkmark, the why-line, and the start confirmation.

Signed-off-by: flemming-it <stefan.a.flemming@googlemail.com>

lib/l10n/app_de.arb

@@ -1413,6 +1413,9 @@
   "searchHintOpen": "Enter öffnen",
   "searchHintClose": "Esc schließen",
   "searchGroupPages": "Seiten",
+  "searchGroupWorkspace": "Projekte & Bereiche",
+  "searchWorkspaceHint": "Kontext wechseln · ⌘P",
+  "searchWorkspaceSealedPickerHint": "Auswahl öffnen · ⌘P",
   "searchGroupModules": "Module",
   "searchGroupStore": "Store",
   "searchGroupFlows": "Flows",
@@ -1833,7 +1836,14 @@
   "federationEnrollmentHint": "Übergeben Sie das Token dem Satelliten-Betreiber über einen sicheren Kanal. Die mitgelieferte Zertifikatsstelle authentifiziert die erste Verbindung des Satelliten.",
   "workspaceAll": "Alle Projekte",
   "workspaceDefaultProject": "Allgemein",
-  "workspaceSwitcherTooltip": "Arbeitsbereich — filtert diese Ansicht und stempelt neue Läufe mit dem gewählten Projekt",
+  "workspaceSwitcherTooltip": "Arbeitskontext wählen — gilt überall: filtert Flows, Läufe, Audit und Freigaben und stempelt neue Läufe mit dem gewählten Projekt",
+  "workspaceAnchorCaption": "Projekt / Bereich",
+  "workspaceStartConfirmTitle": "Bereich „{name}“ starten?",
+  "@workspaceStartConfirmTitle": {"placeholders": {"name": {"type": "String"}}},
+  "workspaceStartConfirmBody": "Dieser abgeschottete Bereich ist gerade gestoppt. Studio startet seine eigene Hub-Instanz auf diesem Rechner und verbindet sich mit ihr — laufende Bereiche wechseln ohne diese Rückfrage.",
+  "workspaceStartConfirmAction": "Starten und verbinden",
+  "workspaceSealedAggregateWhy": "Namen bleiben zusammengefasst, weil sie Mandanten verraten können.",
+  "workspaceSealedAggregateSettings": "Immer anzeigen: Einstellungen → Sicherheit",
   "workspaceProtectedHint": "Geschützt: logisch getrennt im gemeinsamen Hub — keine harte Prozessgrenze. Kritische Mandate nutzen einen abgeschotteten Bereich.",
   "runsTitle": "Läufe",
   "runsReloadTooltip": "Lauf-Liste neu laden",
@@ -1841,6 +1851,10 @@
   "runsEmptyHint": "Hier erscheinen Läufe, die im Hintergrund weiterlaufen, während Sie anderes tun. Diese Funktion ist optional und standardmäßig ausgeschaltet — die Anleitung zeigt Schritt für Schritt, wie sie eingeschaltet wird.",
   "runsEmptyEnabledHint": "Läufe im Hintergrund sind eingeschaltet — es wurde nur noch keiner gestartet. Starten Sie einen Flow mit der Option „im Hintergrund ausführen“, dann erscheint er hier.",
   "runsEmptyGuideButton": "Anleitung öffnen",
+  "runsEmptyFilteredTitle": "Keine Läufe in Projekt „{name}“",
+  "@runsEmptyFilteredTitle": {"placeholders": {"name": {"type": "String"}}},
+  "runsEmptyFilteredHint": "Der Arbeitskontext filtert diese Liste — in anderen Projekten kann es Läufe geben.",
+  "runsEmptyShowAll": "Alle Projekte anzeigen",
   "runsHubTooOldTitle": "Diese Ansicht braucht eine neuere Hub-Version",
   "runsHubTooOldHint": "Der Hub ist verbunden, aber seine Version kennt die Laufübersicht noch nicht. Aktualisieren Sie den Hub, dann erscheinen die Läufe hier.",
   "runsHubTooOldButton": "Diagnose öffnen",