Kevin Adametz 77f8f9cb35 security: Rechteausweitung schließen & Admin-Panel feingranular gaten (K1, H1, H2, M8) ... - users:manage/roles:manage auf allen User-/Rollen-Masken erzwungen; is_super_admin aus $fillable entfernt und nur per autorisiertem forceFill setzbar; zentraler Gate::before-Super-Admin-Kurzschluss (K1/M8). - Nicht-Super-Admins können Super-Admin-Konten nicht mehr bearbeiten (Fix#2); Impersonation mit Rangprüfung, keine Token-Erstellung während Impersonation (H1). - Destruktive/verwaltende Admin-Aktionen (CRM/Billing/Compliance/Struktur) hängen an neuen admin-only Permissions; Editor behält reine Content-Rechte (H2). - Kanonischer Permission-Katalog (App\Authorization\Permission) als Single Source of Truth für Seeder und Monitoring. Deployment: `php artisan db:seed --class=RolesAndPermissionsSeeder` auf allen Umgebungen ausführen (neue Permissions). Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>		2026-07-14 13:48:50 +00:00
..
admin.php	security: Rechteausweitung schließen & Admin-Panel feingranular gaten (K1, H1, H2, M8)	2026-07-14 13:48:50 +00:00
ADMIN_ROUTES.md	Optimierung Phase 1: Aufraeumen / toter Code	2026-06-19 08:27:12 +00:00
api.php	API: nicht-numerische Routen-IDs als 404 statt TypeError/500	2026-07-10 15:20:01 +00:00
auth.php	QA-Befunde A4: 2FA-Bestätigungsschritt + sicherer E-Mail-Wechsel	2026-07-07 10:53:24 +00:00
console.php	Monitoring (R5.3): Betriebs-Alerts fuer Scheduler-/Queue-Ausfaelle	2026-07-09 15:34:40 +00:00
customer.php	E-Mail-Praeferenzen: Opt-out je Mail-Typ + One-Click-Unsubscribe ohne Login	2026-07-10 17:15:05 +00:00
domains.php	WS-3: Recht & Compliance – Rechts-Kern (DSGVO/Persönlichkeitsrecht/Melden + Queue)	2026-06-16 14:20:05 +00:00
legacy-api.php	API: nicht-numerische Routen-IDs als 404 statt TypeError/500	2026-07-10 15:20:01 +00:00
legal.php	Recht: Online-Widerruf ohne Login (gesetzlicher Widerrufsbutton) - Backend	2026-07-03 10:03:37 +00:00
web.php	media: PM-Medien privat ausliefern + Vorschau-Signatur (M4, M5, Fix#4/#5)	2026-07-14 13:48:06 +00:00