security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins

Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen:
dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md.

- S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute).
- S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt.
- S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder
  Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto.
- S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset
  alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet.
  API-Tokens bleiben bestehen.
- S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID;
  Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink
  in derselben Browser-Session.
- S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder
  Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung;
  Hinweis-Mails an die (bisherige) Kontoadresse.
- Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins
  und Admins bestätigen die Session für den Admin-Bereich per Passkey oder
  App-Code (EnsureStrongAdminAuthentication, Notfallschalter
  AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins.

Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen),
Larastan ohne Meldung.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

routes/admin.php

@@ -7,6 +7,7 @@ use App\Http\Controllers\Admin\PressReleaseImageEvidenceController;
 use App\Http\Controllers\InvoicePdfController;
 use App\Http\Controllers\LegacyInvoicePdfController;
 use App\Http\Middleware\BlockAdminDuringImpersonation;
+use App\Http\Middleware\EnsureStrongAdminAuthentication;
 use App\Http\Middleware\EnsureUserIsAdmin;
 use App\Http\Middleware\LogSlowAdminRequests;
 use Illuminate\Support\Facades\Route;
@@ -16,7 +17,7 @@ use Illuminate\Support\Facades\Route;
 // Eingeloggte Admins werden über die Auth-Pipeline direkt nach /dashboard
 // geleitet (siehe FORTIFY_HOME / LoginResponseContract).
 Route::get('dashboard', DashboardController::class)
-    ->middleware(['auth', 'verified', BlockAdminDuringImpersonation::class, EnsureUserIsAdmin::class, LogSlowAdminRequests::class])
+    ->middleware(['auth', 'verified', BlockAdminDuringImpersonation::class, EnsureUserIsAdmin::class, EnsureStrongAdminAuthentication::class, LogSlowAdminRequests::class])
     ->name('dashboard');
 
 // ========================================
@@ -36,7 +37,14 @@ Route::post('admin/impersonate/leave', LeaveImpersonationController::class)
 // ========================================
 // Admin-Bereich (nur Rollen admin/editor)
 // ========================================
-Route::middleware(['auth', 'verified', BlockAdminDuringImpersonation::class, EnsureUserIsAdmin::class, LogSlowAdminRequests::class])->group(function () {
+// Starke Anmeldung für Admins (Entscheidung 5, 07.10.2026): einmalige
+// Bestätigung der Session per Passkey oder Authenticator-Code, bevor der
+// Admin-Bereich öffnet (EnsureStrongAdminAuthentication).
+Route::livewire('admin/anmeldung-bestaetigen', 'auth.strong-confirmation')
+    ->middleware(['auth', 'verified', BlockAdminDuringImpersonation::class, EnsureUserIsAdmin::class])
+    ->name('strong-auth.confirm');
+
+Route::middleware(['auth', 'verified', BlockAdminDuringImpersonation::class, EnsureUserIsAdmin::class, EnsureStrongAdminAuthentication::class, LogSlowAdminRequests::class])->group(function () {
 
     // Content Management
     Route::livewire('admin/press-releases', 'admin.press-releases.index')->name('admin.press-releases.index');

routes/auth.php

@@ -39,6 +39,14 @@ Route::group(['middleware' => config('fortify.middleware', ['web'])], function (
         ->middleware(['guest:'.config('fortify.guard')])
         ->name('oauth.google.callback');
 
+    // Bestätigte Erstverknüpfung eines bestehenden Kontos (Sicherheitsaudit
+    // 07.10.2026, S-05): signierter Link aus der Mail, nur in der Session gültig,
+    // die den Google-Login begonnen hat (SocialAccountLinker).
+    Route::get('/auth/google/verknuepfen/{user}', [GoogleController::class, 'confirmLink'])
+        ->middleware(['guest:'.config('fortify.guard'), 'signed', 'throttle:10,1'])
+        ->whereNumber('user')
+        ->name('oauth.google.confirm-link');
+
     // Registrierung mit Livewire
     Route::livewire('/register', 'auth.register')
         ->middleware(['guest:'.config('fortify.guard')])