QA-Befunde A4: 2FA-Bestätigungsschritt + sicherer E-Mail-Wechsel

- 2FA: Einrichtung verlangt jetzt die Bestätigung mit einem App-Code
  (Fortify confirm-Semantik); vorher blieb two_factor_confirmed_at
  leer und der Login fragte nie nach der Challenge.
- Recovery-Codes nur noch einmalig sichtbar (nach Bestätigung bzw.
  Neu-Erzeugung), nicht mehr bei jedem Seitenaufruf.
- E-Mail-Änderung als Pending-Flow: Bestätigungslink geht an die NEUE
  Adresse, die alte bleibt bis zum Klick aktiv — kein Aussperren durch
  Tippfehler und keine Registrierungs-Notice mehr nach dem Ändern.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Http/Controllers/Auth/ConfirmEmailChangeController.php

@@ -0,0 +1,45 @@
+<?php
+
+namespace App\Http\Controllers\Auth;
+
+use App\Http\Controllers\Controller;
+use App\Models\User;
+use Illuminate\Http\RedirectResponse;
+use Illuminate\Http\Request;
+
+class ConfirmEmailChangeController extends Controller
+{
+    /**
+     * Übernimmt eine ausstehende E-Mail-Änderung, nachdem der Kunde den
+     * signierten Link aus der Mail an die NEUE Adresse geklickt hat.
+     * Bis dahin bleibt die alte Adresse aktiv (kein Aussperren bei Tippfehlern).
+     */
+    public function __invoke(Request $request, User $user, string $hash): RedirectResponse
+    {
+        abort_unless($request->user()->is($user), 403);
+
+        if (! $user->pending_email) {
+            return redirect()->route('me.security')
+                ->with('security-status', __('Es liegt keine ausstehende E-Mail-Änderung vor. Möglicherweise wurde der Link bereits verwendet.'));
+        }
+
+        abort_unless(hash_equals(sha1($user->pending_email), $hash), 403);
+
+        // Zwischenzeitlich vergeben? Dann Änderung verwerfen statt Konflikt anlegen.
+        if (User::query()->where('email', $user->pending_email)->whereKeyNot($user->id)->exists()) {
+            $user->forceFill(['pending_email' => null])->save();
+
+            return redirect()->route('me.security')
+                ->with('security-error', __('Die neue E-Mail-Adresse wird inzwischen von einem anderen Konto verwendet. Die Änderung wurde verworfen.'));
+        }
+
+        $user->forceFill([
+            'email' => $user->pending_email,
+            'email_verified_at' => now(),
+            'pending_email' => null,
+        ])->save();
+
+        return redirect()->route('me.security')
+            ->with('security-status', __('Ihre E-Mail-Adresse wurde erfolgreich geändert.'));
+    }
+}