security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins

Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen:
dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md.

- S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute).
- S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt.
- S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder
  Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto.
- S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset
  alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet.
  API-Tokens bleiben bestehen.
- S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID;
  Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink
  in derselben Browser-Session.
- S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder
  Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung;
  Hinweis-Mails an die (bisherige) Kontoadresse.
- Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins
  und Admins bestätigen die Session für den Admin-Bereich per Passkey oder
  App-Code (EnsureStrongAdminAuthentication, Notfallschalter
  AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins.

Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen),
Larastan ohne Meldung.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

config/fortify.php

@@ -1,6 +1,7 @@
 <?php
 
 use App\Http\Middleware\BlockUnusedFortifyRoutes;
+use App\Http\Middleware\EnsurePasskeyManagementIsConfirmed;
 use Laravel\Fortify\Features;
 
 return [
@@ -106,7 +107,7 @@ return [
     |
     */
 
-    'middleware' => ['web', BlockUnusedFortifyRoutes::class],
+    'middleware' => ['web', BlockUnusedFortifyRoutes::class, EnsurePasskeyManagementIsConfirmed::class],
 
     /*
     |--------------------------------------------------------------------------
@@ -122,6 +123,7 @@ return [
     'limiters' => [
         'login' => 'login',
         'two-factor' => 'two-factor',
+        'passkeys' => 'passkeys',
     ],
 
     /*
@@ -155,12 +157,39 @@ return [
         // updateProfileInformation() bewusst AUS (Audit F01): der Endpunkt
         // tauschte die E-Mail sofort und ohne Verifizierung – Firmenrechte
         // hängen an der Adresse. Die Kunden-UI nutzt den pending_email-Prozess.
-        Features::updatePasswords(),
+        // Features::updatePasswords(), // Abgeschaltet (Sicherheitsaudit 07.10.2026): Passwortwechsel nur über Livewire + PasswordChanger
         Features::twoFactorAuthentication([
             'confirm' => true,
             'confirmPassword' => true,
             // 'window' => 0,
         ]),
+        // Passkeys (Entscheidung 5, 07.10.2026). Den frischen Nachweis vor dem
+        // Hinzufügen verlangt EnsurePasskeyManagementIsConfirmed statt
+        // `password.confirm` — Letzteres setzt ein Passwort voraus, das
+        // Magic-Link- und Google-Konten nicht haben.
+        Features::passkeys([
+            'confirmPassword' => false,
+        ]),
+    ],
+
+    /*
+    |--------------------------------------------------------------------------
+    | Passkeys
+    |--------------------------------------------------------------------------
+    |
+    | Login und Sicherheitsseite laufen ausschließlich auf der Portal-Domain
+    | (routes/domains.php) — daran sind die Passkeys gebunden. Bewusst nicht
+    | APP_URL: die zeigt je nach Umgebung auf ein Web-Portal.
+    |
+    */
+
+    'passkeys' => [
+        'relying_party_id' => env('PASSKEYS_RP_ID', env('APP_PORTAL_NAME', 'pressekonto.test')),
+        'allowed_origins' => [env('APP_PORTAL_URL', 'https://pressekonto.test')],
+        // Eigener Wert empfohlen: ein APP_KEY-Wechsel würde sonst die Kennungen
+        // ändern, unter denen die Geräte die Passkeys gespeichert haben.
+        'user_handle_secret' => env('PASSKEYS_USER_HANDLE_SECRET', env('APP_KEY')),
+        'timeout' => 60000,
     ],
 
 ];