security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins

Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen:
dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md.

- S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute).
- S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt.
- S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder
  Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto.
- S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset
  alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet.
  API-Tokens bleiben bestehen.
- S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID;
  Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink
  in derselben Browser-Session.
- S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder
  Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung;
  Hinweis-Mails an die (bisherige) Kontoadresse.
- Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins
  und Admins bestätigen die Session für den Admin-Bereich per Passkey oder
  App-Code (EnsureStrongAdminAuthentication, Notfallschalter
  AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins.

Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen),
Larastan ohne Meldung.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

resources/views/livewire/admin/users/edit.blade.php

@@ -2,10 +2,13 @@
 
 use App\Enums\Portal;
 use App\Enums\RegistrationType;
+use App\Enums\SecurityChange;
 use App\Models\Company;
 use App\Models\Contact;
 use App\Models\User;
 use App\Services\Admin\AdminPerformanceCache;
+use App\Services\Auth\SecurityNotifier;
+use App\Services\Auth\SessionRevocation;
 use Illuminate\Database\Eloquent\Collection;
 use Illuminate\Validation\Rule;
 use Livewire\Attributes\Layout;
@@ -622,6 +625,48 @@ new #[Layout('components.layouts.app'), Title('Benutzer bearbeiten')] class exte
             'countries' => config('countries.items', []),
             'portalOptions' => Portal::cases(),
             'registrationTypeOptions' => RegistrationType::cases(),
+            'secondFactors' => $this->secondFactorsOfTarget(),
+        ];
+    }
+
+    /**
+     * Notfallweg bei verlorenem Gerät (Entscheidung 5, 07.10.2026): Ein
+     * Super-Admin setzt Passkeys und Authenticator-App eines anderen Kontos
+     * zurück. Alle Sessions des Kontos enden, der Inhaber wird informiert und
+     * richtet den zweiten Faktor nach der nächsten Anmeldung neu ein.
+     */
+    public function resetSecondFactors(SessionRevocation $sessions, SecurityNotifier $notifier): void
+    {
+        $this->authorize('users:manage');
+        abort_unless(auth()->user()->is_super_admin, 403);
+
+        $user = User::query()->findOrFail($this->id);
+        abort_if($user->is(auth()->user()), 403, __('Das eigene Konto verwalten Sie unter „Sicherheit“.'));
+
+        $user->passkeys()->delete();
+        $user->forceFill([
+            'two_factor_secret' => null,
+            'two_factor_recovery_codes' => null,
+            'two_factor_confirmed_at' => null,
+        ])->save();
+
+        $sessions->revokeAllFor($user);
+        $notifier->notify($user, SecurityChange::SecondFactorsReset);
+
+        session()->flash('success', __('Passkeys und Zwei-Faktor-Authentifizierung wurden zurückgesetzt. Alle Sitzungen des Kontos sind beendet.'));
+    }
+
+    /**
+     * @return array{passkeys: int, totp: bool, canReset: bool}
+     */
+    private function secondFactorsOfTarget(): array
+    {
+        $user = User::query()->find($this->id);
+
+        return [
+            'passkeys' => $user?->passkeys()->count() ?? 0,
+            'totp' => (bool) $user?->hasEnabledTwoFactorAuthentication(),
+            'canReset' => $user !== null && auth()->user()->is_super_admin && ! $user->is(auth()->user()),
         ];
     }
 
@@ -1160,6 +1205,24 @@ new #[Layout('components.layouts.app'), Title('Benutzer bearbeiten')] class exte
         @endforelse
     </flux:card>
 
+    {{-- Zweiter Faktor (Entscheidung 5): Notfall-Reset nur durch Super-Admins. --}}
+    <flux:card id="second-factors">
+        <flux:heading size="lg" class="mb-2">{{ __('Zweiter Faktor') }}</flux:heading>
+        <p class="text-[13px] text-[color:var(--color-ink-2)] m-0">
+            {{ trans_choice('{0} Keine Passkeys|{1} :count Passkey|[2,*] :count Passkeys', $secondFactors['passkeys'], ['count' => $secondFactors['passkeys']]) }}
+            · {{ $secondFactors['totp'] ? __('Authenticator-App aktiv') : __('keine Authenticator-App') }}
+        </p>
+        @if ($secondFactors['canReset'] && ($secondFactors['passkeys'] > 0 || $secondFactors['totp']))
+            <div class="mt-4">
+                <flux:button type="button" variant="danger" icon="arrow-path"
+                    wire:click="resetSecondFactors"
+                    wire:confirm="{{ __('Passkeys und Authenticator-App dieses Kontos zurücksetzen und alle Sitzungen beenden? Nur bei verlorenem Gerät und nach Rücksprache mit dem Inhaber.') }}">
+                    {{ __('Zweiten Faktor zurücksetzen') }}
+                </flux:button>
+            </div>
+        @endif
+    </flux:card>
+
     <flux:card id="billing-address">
         <flux:heading size="lg" class="mb-4">{{ __('Rechnungsadresse') }}</flux:heading>