security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins

Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen:
dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md.

- S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute).
- S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt.
- S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder
  Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto.
- S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset
  alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet.
  API-Tokens bleiben bestehen.
- S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID;
  Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink
  in derselben Browser-Session.
- S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder
  Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung;
  Hinweis-Mails an die (bisherige) Kontoadresse.
- Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins
  und Admins bestätigen die Session für den Admin-Bereich per Passkey oder
  App-Code (EnsureStrongAdminAuthentication, Notfallschalter
  AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins.

Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen),
Larastan ohne Meldung.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Console/Commands/ResyncAutomaticMemberships.php

@@ -0,0 +1,68 @@
+<?php
+
+namespace App\Console\Commands;
+
+use App\Models\User;
+use App\Services\Auth\ContactAccessService;
+use Illuminate\Console\Command;
+use Illuminate\Support\Facades\DB;
+
+/**
+ * Bewertet automatisch vergebene Firmenrechte (`granted_via` = auto bzw.
+ * auto-upgrade) aller betroffenen User neu (Sicherheitsaudit 07.10.2026,
+ * S-03). Der CompanyMembershipObserver erledigt das bei jeder Änderung über
+ * Eloquent; dieses Kommando bereinigt den Altbestand und repariert nach
+ * Massen-Updates per Query-Builder.
+ *
+ * Manuelle (`manual`) und API-Mitgliedschaften (`api`) bleiben unberührt.
+ */
+class ResyncAutomaticMemberships extends Command
+{
+    protected $signature = 'memberships:resync-auto
+        {--user= : Nur diesen User (ID) abgleichen}';
+
+    protected $description = 'Gleicht automatisch vergebene Firmenrechte mit den aktuellen Kontakt- und Firmenadressen ab.';
+
+    public function handle(ContactAccessService $contactAccess): int
+    {
+        $before = $this->countAutomaticGrants();
+
+        $userIds = DB::table('company_user')
+            ->whereIn('granted_via', ['auto', 'auto-upgrade'])
+            ->when($this->option('user'), fn ($query, $userId) => $query->where('user_id', (int) $userId))
+            ->distinct()
+            ->pluck('user_id');
+
+        if ($userIds->isEmpty()) {
+            $this->info('Keine automatisch vergebenen Firmenrechte gefunden — nichts zu tun.');
+
+            return self::SUCCESS;
+        }
+
+        $bar = $this->output->createProgressBar($userIds->count());
+
+        foreach ($userIds->chunk(200) as $chunk) {
+            User::query()->whereIn('id', $chunk->all())->get()->each(function (User $user) use ($contactAccess, $bar): void {
+                $contactAccess->syncMembershipsForEmail($user);
+                $bar->advance();
+            });
+        }
+
+        $bar->finish();
+        $this->newLine();
+
+        $after = $this->countAutomaticGrants();
+
+        $this->info("Abgeglichen: {$userIds->count()} User. Automatische Rechte vorher {$before}, nachher {$after}.");
+
+        return self::SUCCESS;
+    }
+
+    private function countAutomaticGrants(): int
+    {
+        return DB::table('company_user')
+            ->where('role', 'responsible')
+            ->whereIn('granted_via', ['auto', 'auto-upgrade'])
+            ->count();
+    }
+}