security/api/betrieb: Fortify-2FA-Nebenwege gesperrt, Policy nur für aktive Super-Admins, Nachprüfungen aus dem Umsetzungsaudit (Block 7, U08–U10, U13, 7.1, 7.2, 7.5)

- Fortifys sieben 2FA-Verwaltungsrouten antworten mit 404 (Middleware über
  fortify.middleware); die Sicherheitsseite verlangt weiter den zweiten Faktor (U09)
- PressReleasePolicy/CompanyPolicy::before() bejahen nur aktive Super-Admins (7.2)
- API-Update prüft bei Portalwechsel die bestehende Kategorie gegen das neue Portal (U10)
- Aggregation: Zeitbudget 480 s unter dem Lock von 600 s, Marke nur unter
  Zeilensperre vom erwarteten Stand aus, sonst Fehler-Exit (U13)
- Newsletter-Bereinigungsmigration behält je Paar die sent-Zeile (U08)
- E-Mail-Wechsel stößt den Rechte-Sync sofort an; company-memberships:audit
  --classify zeigt vorher die Kandidaten und begrenzt mit --before (7.1)
- Detailseite wählt bei Slug-Kollision wie der Melde-Resolver (7.5)

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

app/Http/Controllers/Api/V1/PressReleaseController.php

@@ -135,8 +135,13 @@ class PressReleaseController extends Controller
             ?? $pressRelease->portal
             ?? $company->portal)->value;
 
+        // Der resultierende Zustand muss passen (Audit U10): eine neue
+        // Kategorie gegen das Ziel-Portal, bei reinem Portalwechsel die
+        // bestehende Kategorie gegen das neue Portal.
         if (isset($validated['category_id'])) {
             $this->assertCategoryFitsPortal((int) $validated['category_id'], $portal, $request);
+        } elseif ($portal !== $pressRelease->portal->value) {
+            $this->assertCategoryFitsPortal((int) $pressRelease->category_id, $portal, $request);
         }
 
         $pressRelease->fill([

app/Http/Controllers/Auth/ConfirmEmailChangeController.php

@@ -4,6 +4,7 @@ namespace App\Http\Controllers\Auth;
 
 use App\Http\Controllers\Controller;
 use App\Models\User;
+use App\Services\Auth\ContactAccessService;
 use Illuminate\Http\RedirectResponse;
 use Illuminate\Http\Request;
 
@@ -14,7 +15,7 @@ class ConfirmEmailChangeController extends Controller
      * signierten Link aus der Mail an die NEUE Adresse geklickt hat.
      * Bis dahin bleibt die alte Adresse aktiv (kein Aussperren bei Tippfehlern).
      */
-    public function __invoke(Request $request, User $user, string $hash): RedirectResponse
+    public function __invoke(Request $request, User $user, string $hash, ContactAccessService $contactAccess): RedirectResponse
     {
         abort_unless($request->user()->is($user), 403);
 
@@ -39,6 +40,11 @@ class ConfirmEmailChangeController extends Controller
             'pending_email' => null,
         ])->save();
 
+        // Die Firmenrechte hängen an der Adresse (Audit 7.1): automatische
+        // Rechte der alten Adresse sofort zurücknehmen, passende der neuen
+        // vergeben – nicht erst beim nächsten Login.
+        $contactAccess->syncMembershipsForEmail($user);
+
         return redirect()->route('me.security')
             ->with('security-status', __('Ihre E-Mail-Adresse wurde erfolgreich geändert.'));
     }

app/Http/Middleware/BlockUnusedFortifyRoutes.php

@@ -0,0 +1,46 @@
+<?php
+
+namespace App\Http\Middleware;
+
+use Closure;
+use Illuminate\Http\Request;
+use Symfony\Component\HttpFoundation\Response;
+
+/**
+ * Sperrt die Fortify-Routen zur 2FA-Verwaltung, die das Projekt nicht nutzt
+ * (Audit U09, Entscheidung E3/E8).
+ *
+ * Die Sicherheitsseite (customer/security) ruft die Fortify-Actions direkt
+ * auf und verlangt vor Deaktivierung und Recovery-Codes einen TOTP- oder
+ * Recovery-Code. Fortify registriert daneben eigene Routen für dieselben
+ * Aktionen, die nur `password.confirm` verlangen – eine bis zu drei Stunden
+ * alte Passwortbestätigung hätte den zweiten Faktor ersetzt. Fortify kennt
+ * kein Abschalten einzelner Routen (nur `ignoreRoutes()` für alle), deshalb
+ * hängt diese Middleware über `fortify.middleware` an allen Fortify-Routen
+ * und beantwortet die ungenutzten mit 404. Challenge und Passwortwechsel
+ * bleiben erreichbar.
+ */
+class BlockUnusedFortifyRoutes
+{
+    /**
+     * @var list<string>
+     */
+    public const BLOCKED_ROUTES = [
+        'two-factor.enable',
+        'two-factor.confirm',
+        'two-factor.disable',
+        'two-factor.qr-code',
+        'two-factor.secret-key',
+        'two-factor.recovery-codes',
+        'two-factor.regenerate-recovery-codes',
+    ];
+
+    public function handle(Request $request, Closure $next): Response
+    {
+        if (in_array($request->route()?->getName(), self::BLOCKED_ROUTES, true)) {
+            abort(404);
+        }
+
+        return $next($request);
+    }
+}