Kevin Adametz bae8347f6c security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins ... Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen: dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md. - S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute). - S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt. - S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto. - S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet. API-Tokens bleiben bestehen. - S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID; Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink in derselben Browser-Session. - S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung; Hinweis-Mails an die (bisherige) Kontoadresse. - Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins und Admins bestätigen die Session für den Admin-Bereich per Passkey oder App-Code (EnsureStrongAdminAuthentication, Notfallschalter AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins. Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen), Larastan ohne Meldung. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>		2026-10-07 16:09:35 +00:00
..
customer	Status-Widget: immer verfuegbarer Buchungsueberblick in der Topbar	2026-06-18 13:03:25 +00:00
emails	web/admin/pdf: gemeinsame Bildnachweis-Auflösung, Detailfenster am Artikelbild, Bestätigungsstand in Kunden- und Adminansicht, Wortwahl „automatisierte Prüfung" (Bildkennzeichnung Block D)	2026-09-22 09:44:34 +00:00
layouts	security: Sicherheitsaudit 07.10.2026 (S-01–S-06) behoben, Passkeys und Zweitfaktor-Pflicht für Admins	2026-10-07 16:09:35 +00:00
monitoring	monitoring: Betriebsüberwachung Phase 1 — GlitchTip (Server- und Browserfehler), Fehlersignale ohne Exception, /health mit Scheduler-Herzschlag, ntfy-Alarme, fehlgeschlagene Anmeldungen im Verlauf, Umami im Kundenbereich, Versionsnummer	2026-10-05 12:53:00 +00:00
portal	dashboard/errors: Onboarding-Card „Erste Schritte" & Hub-Styling der Fehlerseiten	2026-07-15 13:07:36 +00:00
settings	Rebrand Hub+Flux	2026-05-20 15:44:15 +02:00
web	monitoring: Betriebsüberwachung Phase 1 — GlitchTip (Server- und Browserfehler), Fehlersignale ohne Exception, /health mit Scheduler-Herzschlag, ntfy-Alarme, fehlgeschlagene Anmeldungen im Verlauf, Umami im Kundenbereich, Versionsnummer	2026-10-05 12:53:00 +00:00
action-message.blade.php	first commit	2025-10-20 17:53:02 +02:00
app-logo-icon.blade.php	first commit	2025-10-20 17:53:02 +02:00
app-logo.blade.php	12-05-2026 Frontend dev	2026-05-12 18:32:33 +02:00
auth-header.blade.php	first commit	2025-10-20 17:53:02 +02:00
auth-session-status.blade.php	first commit	2025-10-20 17:53:02 +02:00
content-score-panel.blade.php	PM-Detailseite: Inhaltspruefung (Gruen/Gelb/Rot) + Qualitaets-Score sichtbar	2026-07-13 14:59:33 +00:00
password-input.blade.php	5.5: <x-password-input> + 6 Auth-Passwortfelder umgestellt	2026-07-02 09:04:26 +00:00
placeholder-pattern.blade.php	first commit	2025-10-20 17:53:02 +02:00
press-release-submit-modal.blade.php	auth/security: API-Firmenzuordnung nur für Mitglieder oder Allowlist, Google-Vorabübernahme geschlossen, gemeinsamer Login-Abschluss (Umsetzungsaudit 29.09.: R-01, K-04, K-07, K-08, B-10)	2026-10-02 13:09:00 +00:00
session-status.blade.php	5.5: <x-session-status> + 4 Auth-Seiten umgestellt	2026-07-02 08:41:46 +00:00