security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins

Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen:
dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md.

- S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute).
- S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt.
- S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder
  Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto.
- S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset
  alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet.
  API-Tokens bleiben bestehen.
- S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID;
  Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink
  in derselben Browser-Session.
- S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder
  Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung;
  Hinweis-Mails an die (bisherige) Kontoadresse.
- Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins
  und Admins bestätigen die Session für den Admin-Bereich per Passkey oder
  App-Code (EnsureStrongAdminAuthentication, Notfallschalter
  AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins.

Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen),
Larastan ohne Meldung.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

resources/js/passkeys.js

@@ -0,0 +1,48 @@
+// Passkeys (Entscheidung 5, 07.10.2026): dünne Hülle um den offiziellen
+// Laravel-Client für Login-Seite, Sicherheitsseite und Admin-Bestätigung.
+// Kein eigenes Alpine — die Seiten rufen window.PkPasskeys aus ihren
+// bestehenden Alpine-Komponenten auf. Ergebnis immer { ok, error, result }.
+import {
+    Passkeys,
+    InvalidDomainError,
+    NotSupportedError,
+    PasskeyExistsError,
+    UserCancelledError,
+} from "@laravel/passkeys";
+
+const CONFIRM_ROUTES = {
+    options: "/passkeys/confirm/options",
+    submit: "/passkeys/confirm",
+};
+
+function messageFor(error) {
+    if (error instanceof UserCancelledError) {
+        return "Der Vorgang wurde abgebrochen.";
+    }
+    if (error instanceof NotSupportedError) {
+        return "Dieser Browser unterstützt keine Passkeys.";
+    }
+    if (error instanceof PasskeyExistsError) {
+        return "Für dieses Gerät ist bereits ein Passkey hinterlegt.";
+    }
+    if (error instanceof InvalidDomainError) {
+        return "Passkeys funktionieren nur auf der Anmeldeseite von pressekonto.";
+    }
+
+    return "Der Passkey konnte nicht geprüft werden. Bitte versuchen Sie es erneut.";
+}
+
+async function run(action) {
+    try {
+        return { ok: true, error: null, result: await action() };
+    } catch (error) {
+        return { ok: false, error: messageFor(error), result: null };
+    }
+}
+
+window.PkPasskeys = {
+    isSupported: () => Passkeys.isSupported(),
+    login: (remember = false) => run(() => Passkeys.verify({ remember })),
+    confirm: () => run(() => Passkeys.verify({ routes: CONFIRM_ROUTES })),
+    register: (name) => run(() => Passkeys.register({ name })),
+};