security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins

Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen:
dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md.

- S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute).
- S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt.
- S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder
  Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto.
- S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset
  alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet.
  API-Tokens bleiben bestehen.
- S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID;
  Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink
  in derselben Browser-Session.
- S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder
  Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung;
  Hinweis-Mails an die (bisherige) Kontoadresse.
- Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins
  und Admins bestätigen die Session für den Admin-Bereich per Passkey oder
  App-Code (EnsureStrongAdminAuthentication, Notfallschalter
  AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins.

Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen),
Larastan ohne Meldung.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Enums/SecurityChange.php

@@ -0,0 +1,51 @@
+<?php
+
+namespace App\Enums;
+
+/**
+ * Sicherheitsrelevante Kontoänderung, über die der Kontoinhaber an seine
+ * bisherige Adresse informiert wird (Sicherheitsaudit 07.10.2026, S-06).
+ */
+enum SecurityChange: string
+{
+    case PasswordChanged = 'password_changed';
+
+    case PasswordReset = 'password_reset';
+
+    case EmailChanged = 'email_changed';
+
+    case TwoFactorEnabled = 'two_factor_enabled';
+
+    case TwoFactorDisabled = 'two_factor_disabled';
+
+    case GoogleLinked = 'google_linked';
+
+    case PasskeyAdded = 'passkey_added';
+
+    case PasskeyRemoved = 'passkey_removed';
+
+    case SecondFactorsReset = 'second_factors_reset';
+
+    public function label(): string
+    {
+        return match ($this) {
+            self::PasswordChanged => 'Ihr Passwort wurde geändert.',
+            self::PasswordReset => 'Ihr Passwort wurde über „Passwort vergessen“ neu gesetzt.',
+            self::EmailChanged => 'Die Login-Adresse Ihres Kontos wurde geändert.',
+            self::TwoFactorEnabled => 'Die Zwei-Faktor-Authentifizierung wurde aktiviert.',
+            self::TwoFactorDisabled => 'Die Zwei-Faktor-Authentifizierung wurde deaktiviert.',
+            self::GoogleLinked => 'Ein Google-Konto wurde mit Ihrem Konto verknüpft.',
+            self::PasskeyAdded => 'Ein neuer Passkey wurde zu Ihrem Konto hinzugefügt.',
+            self::PasskeyRemoved => 'Ein Passkey wurde aus Ihrem Konto entfernt.',
+            self::SecondFactorsReset => 'Ein Administrator hat Ihre Passkeys und Ihre Zwei-Faktor-Authentifizierung zurückgesetzt.',
+        };
+    }
+
+    /**
+     * Ob andere angemeldete Geräte dabei abgemeldet wurden.
+     */
+    public function endsOtherSessions(): bool
+    {
+        return in_array($this, [self::PasswordChanged, self::PasswordReset], true);
+    }
+}