auth/mail: Magic-Link-2FA (M1) + Mailversand über die Queue

- Magic-Link-Login übergibt bei aktiviertem 2FA an die 2FA-Challenge,
  statt sie zu umgehen (M1).
- Bestätigungs-/Benachrichtigungs-Mails (Kontakt, Recht, Kündigung,
  Widerruf, Magic-Link) laufen als ShouldQueue+afterCommit über die Queue,
  damit die Response nicht am SMTP-Roundtrip hängt.

Hinweis: Der Queue-Worker muss im Betrieb laufen und überwacht werden, da
fristrelevante Bestätigungen darüber zugestellt werden (siehe
Betriebsüberwachung).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Http/Controllers/Auth/MagicLinkConsumeController.php

@@ -45,18 +45,35 @@ class MagicLinkConsumeController extends Controller
             return redirect()->route('login')->with('status', __('The magic login link has expired or was already used.'));
         }
 
-        $magicLink->user->update([
+        $user = $magicLink->user;
+
+        // 2FA aktiv: nicht direkt einloggen, sondern – wie der Passwort-Login –
+        // in Fortifys Challenge übergeben. Der Magic-Link (Besitz des Postfachs)
+        // ersetzt nur das Passwort, nicht den zweiten Faktor. Der Link ist bereits
+        // atomar verbraucht; bricht der Nutzer die Challenge ab, fordert er einen
+        // neuen an.
+        if ($user->hasEnabledTwoFactorAuthentication()) {
+            $request->session()->put([
+                'login.id' => $user->getKey(),
+                'login.remember' => false,
+            ]);
+
+            $request->session()->regenerate();
+
+            return redirect()->route('two-factor.challenge');
+        }
+
+        $user->update([
             'last_login_at' => now(),
             'last_login_ip' => $request->ip(),
         ]);
 
-        Auth::guard('web')->login($magicLink->user);
+        Auth::guard('web')->login($user);
         $request->session()->regenerate();
 
         // Rollensicherer Redirect ohne intended(): eine als Gast besuchte
         // Admin-URL (z. B. /dashboard) darf einen Customer nach dem
         // Magic-Link-Login nicht in den 403-Admin-Bereich schicken.
-        $user = $magicLink->user;
 
         $home = $user->canAccessAdmin()
             ? route('dashboard', absolute: false)