docs: Konzeptdokumente in Gitea-Repo nachliefern (bisher nur lokal)

STORAGE-KONZEPT.md und weitere Konzeptdokumente (PRODUKTARCHITEKTUR.md,
SICHERHEITSKONZEPT.md, MIGRATIONSKONZEPT.md, SKALIERUNGSKONZEPT.md,
SAAS-BETRIEBSMODELL.md, UI-UX-KONZEPT.md) sowie CLAUDE.md lagen bislang
nur in einer lokalen, von origin/main historisch getrennten Branch-Linie
vor. RET-16 (archive-kanban) braucht STORAGE-KONZEPT.md als Zieldatei auf
main. Reiner Dokument-Add, keine Code-Aenderung.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

CLAUDE.md

@@ -0,0 +1,10 @@
+# NEXARCH
+
+Siehe `PRODUKTARCHITEKTUR.md` für die Gesamtübersicht sowie die weiteren Konzeptdokumente (`SICHERHEITSKONZEPT.md`, `MIGRATIONSKONZEPT.md`, `SKALIERUNGSKONZEPT.md`, `STORAGE-KONZEPT.md`, `SAAS-BETRIEBSMODELL.md`, `UI-UX-KONZEPT.md`) für Details zu einzelnen Bereichen.
+
+## Datenschutz (DSGVO)
+
+- **Keine echten Kunden-/Mandantendaten in Prompts, Testfixtures oder Screenshots** — je nach Zielsystem (siehe `datenmodell-altsysteme.md`) potenziell personenbezogene oder besondere Kategorien von Daten (Art. 9 DSGVO).
+- Test-/Demodaten synthetisch halten, nie einen Export aus einem echten Kunden-/Altsystem als Fixture verwenden.
+- Secrets (API-Keys, DB-Credentials, Verschlüsselungs-Keys) nie in Prompts einfügen.
+- Claude Code hier ausschließlich für Code-/Konzeptarbeit; für Auswertungen an echten Kundendaten (z. B. Migrationstests gegen Altsysteme) lokale Ollama-Server nutzen, nicht Claude.

MIGRATIONSKONZEPT.md

@@ -0,0 +1,104 @@
+# NEXARCH 2.0 – Migrationskonzept
+
+Stand: 2026-08-26. Grundlage: `datenmodell-altsysteme.md` (Tabellenaufnahme archivmail/archivdms), `dms-kanban/`, `mail-kanban/`, `core-kanban/`, `archive-kanban/`, `workflow-kanban/`.
+
+## 1. Ausgangslage
+
+- Zwei produktive Altsysteme: **archivmail** (21 Tabellen, langer Produktivbetrieb laut Ticket-Historie) und **archivdms** (32 Tabellen, 26 dokumentierte GoBD-Migrationen, funktional reifer).
+- **Mandanten überschneiden sich teilweise** — manche Kunden nutzen beide Systeme parallel. Migration muss dieselbe Organisation als EIN Tenant in NEXARCH zusammenführen, nicht als zwei getrennte.
+- Entscheidung: **Big Bang** — alle Mandanten wechseln zu einem Stichtag. Das verkürzt die Übergangszeit, verlangt aber eine vollständig geprobte Migration vor dem echten Stichtag (siehe Abschnitt 5).
+- Zielsysteme: **Core** (Tenant/User/Rollen/Audit/Token), **DMS** (Dokumente/Ordner/ACL/Metadaten), **Mail** (Postfächer/Nachrichten/Anhänge), **Archive** (Retention/WORM/Löschworkflow/Backup), **Workflow** (Genehmigungen/Aufgaben/Routing).
+
+## 2. Grundprinzip: Tenant-Zusammenführung vor allem anderen
+
+Da Mandanten in beiden Altsystemen unabhängig entstanden sind (eigene `tenants`-Tabelle je System, eigene IDs), ist der erste und riskanteste Schritt die **Tenant-Identitätsauflösung**:
+
+1. Export beider `tenants`-Tabellen (archivmail + archivdms) mit `slug`/`name`.
+2. Abgleich per **Slug/Domain-Matching** (Firmenname, gepflegte Kunden-Zuordnungsliste als manuelle Fallback-Quelle — automatisches Matching allein ist bei Freitextnamen nicht zuverlässig genug für GoBD-relevante Daten).
+3. Für jedes Ergebnis ein `tenant_migration_map`-Arbeitsblatt: `archivmail_tenant_id`, `archivdms_tenant_id` (kann leer sein), `nexarch_tenant_id` (neu vergeben).
+4. **Menschliche Freigabe Pflicht** für jede Zusammenführung — kein automatischer Merge ohne Bestätigung, da eine falsche Zusammenführung zwei Kunden' Daten sichtbar vermischen würde (Compliance-Vorfall).
+5. Ergebnis der Tenant-Map ist eine feste Referenztabelle, die JEDE weitere Migrationsstufe verwendet, um `tenant_id`-Fremdschlüssel umzuschreiben.
+
+Gleiches Prinzip, eine Ebene tiefer, für **Benutzer**: ein Mensch kann in archivmail und archivdms mit derselben E-Mail-Adresse, aber unterschiedlicher `user_id` existieren. Abgleich per E-Mail-Adresse innerhalb desselben zusammengeführten Tenants, gleiche Freigabepflicht. `user_migration_map`: `archivmail_user_id`, `archivdms_user_id`, `nexarch_user_id`.
+
+## 3. Tabellen-Mapping nach Zielsystem
+
+### → NEXARCH Core
+| Alt (archivmail) | Alt (archivdms) | Ziel | Hinweis |
+|---|---|---|---|
+| `tenants` | `tenants` | Core `TEN-01` Tenant-Datenmodell | via Tenant-Map zusammengeführt |
+| `users` | `users` | Core `IAM-01` Benutzer-Datenmodell | via User-Map zusammengeführt, `password_hash` (bcrypt) 1:1 übernehmbar, kein Rehash nötig |
+| `users.role` (Textspalte) | `users.role` + `permission_groups`/`*_grants` | Core `RBAC-01`/`RBAC-03` | archivdms hat das reifere Modell — als Vorlage für die Zielstruktur nehmen, archivmail-Rollen einfach hineinmappen (Textrolle → passende Core-Rolle) |
+| LDAP-Felder (`source`) | LDAP-Felder (`ldap_uid`, `ldap_synced_at`) | Core `IAM-05` LDAP-Anbindung | archivdms-Feldtiefe als Zielschema, archivmail-Konten nachträglich angereichert (fehlende Felder leer/nachsynchronisiert) |
+| `audit_log` | `audit_log` | Core `AUD-01`/`AUD-02` | beide Systeme nutzen dasselbe Append-only-Trigger-Muster — Zusammenführen ist mechanisch, KEINE inhaltliche Veränderung der historischen Einträge (Audit-Integrität: alte Einträge bleiben mit altem Zeitstempel, nur `tenant_id`/`user_id` über die Mapping-Tabellen umgeschrieben) |
+| `token_blacklist` | `token_blacklist` | Core `IAM-02` | wird NICHT migriert — beim Cutover sind alle Alt-Sessions ohnehin ungültig, neue JWTs werden nach dem Login in NEXARCH ausgestellt |
+| API-Keys mit Rate-Limit | Buchhaltungs-API-Keys | Core `IAM-09` API-Token | neu ausgestellt, nicht migriert (Secrets werden grundsätzlich nicht kopiert, nur die Berechtigung neu vergeben) |
+
+### → NEXARCH DMS
+| Alt (archivdms) | Ziel | Hinweis |
+|---|---|---|
+| Dokumente + Datei-Revisionen | DMS `DOC-01`/`VER-01`-Bereich | Binärdaten per Objekt-Storage-Kopie (nicht per DB-Migration), Metadaten per SQL-Export/Import |
+| `akten` (Ordner/Aktenstruktur) | DMS `DOC-09` Ordner- & Kabinettmodell | 1:1 strukturell übernehmbar |
+| `document_visibility`, `permission_groups`, `*_grants` | DMS-Tickets referenzieren Core `RBAC-02`/`RBAC-04` | ACL-Daten wandern inhaltlich nach Core-Rechtemodell, nicht in DMS selbst |
+| Custom Fields, Klassifikationsvorlagen | DMS `MET-02`/`MET-04` | 1:1 |
+| ML-Klassifikator (trainiertes Modell) | DMS `MET-06` | **Modell selbst wird NICHT migriert** — DMS ist Neubau ohne Codeimport, Trainingsdaten (nicht das archivdms-Binärmodell) können als Grundlage für ein neues Training dienen, falls Trainingsdaten-Export vorliegt |
+| `document_shares` (Freigabelinks) | DMS `DOC-07` | aktive, nicht abgelaufene Links migrieren, abgelaufene verwerfen |
+| Gespeicherte Ansichten, Erinnerungen | DMS-UX-Bereich bzw. Workflow `TSK-01` | Erinnerungen mit offenem Fälligkeitsdatum → Workflow-Board |
+
+### → NEXARCH Mail
+| Alt (archivmail) | Ziel | Hinweis |
+|---|---|---|
+| IMAP/POP3/SMTP-Kontenverwaltung | Mail `IMP-07` Mehrfach-Postfach-Verwaltung | Zugangsdaten NICHT kopieren, Postfach-Konfiguration neu anlegen und Verbindung neu testen |
+| Nachrichten + Anhänge (`email_refs`) | Mail `ARC-01`/`ARC-04` | Binärdaten per Objekt-Storage-Kopie, Referenzen per SQL-Export/Import, `indexed_at`-Statusfeld wird verworfen (Mail-Board indexiert nach der Migration komplett neu, siehe Abschnitt 4) |
+| DSGVO-Löschanfragen (eigene Tabelle) | Archive `CMP-02` | offene/unbearbeitete Anfragen migrieren, abgeschlossene als historischer Audit-Eintrag |
+| Reconciliation-Reports | Archive `BAK-05` | historische Reports als Nachweis archivieren, kein aktiver Datenbestand |
+
+### → NEXARCH Archive
+| Alt (beide Systeme) | Ziel | Hinweis |
+|---|---|---|
+| `retain_until`-Feld auf Kernobjekten | Archive `RET-01` generisches Retention-Objektmodell | wichtigster Einzelschritt für GoBD-Kontinuität — Fristen dürfen beim Umzug NICHT zurückgesetzt werden, sonst Compliance-Bruch |
+| Vier-Augen-Löschworkflow (`document_delete_requests`, nur archivdms) | Archive `CMP-06` | offene Löschanfragen migrieren, bereits vollzogene Löschungen bleiben nur als Audit-Eintrag bestehen (Objekt existiert nicht mehr) |
+
+### → NEXARCH Workflow
+| Alt (archivdms) | Ziel | Hinweis |
+|---|---|---|
+| Workflows/Automatisierung, Processing-Queue | Workflow `ENG-01`/`RTE-01` | laufende Workflow-Instanzen NICHT migrieren (Zustandsmaschine ist Board-spezifisch neu) — nur abgeschlossene Vorgänge als Historie, offene Vorgänge werden vor dem Stichtag bewusst zu Ende geführt oder im Altsystem abgebrochen |
+
+## 4. Was bewusst NICHT migriert wird
+
+- **Suchindex (Manticore)**: kein DB-Sync-Table in beiden Altsystemen vorhanden → nach der Migration wird der komplette Suchindex aus den migrierten Metadaten NEU aufgebaut (Reindexierung), nicht aus dem alten Manticore-Index kopiert.
+- **Sessions/Tokens**: siehe oben, neu ausgestellt.
+- **ML-Klassifikator-Binärmodell**: DMS ist Neubau, kein Codeimport — nur Trainingsdaten (falls vorhanden) als Ausgangspunkt für neues Training.
+- **Laufende Workflow-Instanzen**: vor dem Stichtag im Altsystem abschließen, nicht in einem "halb migrierten" Zustand übernehmen.
+
+## 5. Ablauf (Big Bang, mit Geprobter Vorbereitung)
+
+"Big Bang" heißt: **ein** Stichtag für alle Mandanten — es heißt NICHT, den Migrationscode ungetestet gegen die Produktivdaten laufen zu lassen. Vorgeschlagener Ablauf:
+
+1. **Trockenlauf 1 (Entwicklung)**: Migrationsskripte gegen anonymisierte Kopie der Produktivdaten, iterativ.
+2. **Trockenlauf 2 (Generalprobe)**: vollständiger Lauf gegen eine reale, aktuelle Kopie beider Produktivdatenbanken, in einer isolierten NEXARCH-Testumgebung. Ergebnis wird stichprobenartig gegen die Quelle geprüft (Anzahl Dokumente/Mails je Tenant, Stichproben-Volltextvergleich, Retention-Fristen-Abgleich).
+3. **Tenant- und User-Mapping final freigeben** (Abschnitt 2) — spätestens hier, nicht erst am Stichtag.
+4. **Stichtag**: Altsysteme in Wartungsmodus (read-only) versetzen, finalen Datenexport ziehen, Migrationsskripte laufen lassen, Verifikation (Abschnitt 6), NEXARCH freischalten.
+5. **Parallelbetrieb read-only**: Altsysteme bleiben für einen definierten Zeitraum (Vorschlag: 90 Tage) lesend erreichbar, für den Fall dass eine Diskrepanz erst nach dem Stichtag aktiv genutzten Daten auffällt.
+6. **Abschaltung** der Altsysteme nach Ablauf der Parallelbetriebsfrist und einer zweiten, schriftlich festgehaltenen Freigabe.
+
+## 6. Verifikation
+
+Pflicht je Tenant, vor Freischaltung von NEXARCH für diesen Tenant:
+- Zeilenzahl je migrierter Kerntabelle (Dokumente, Mails, Benutzer) alt vs. neu deckungsgleich (abzüglich bewusst nicht migrierter Kategorien, siehe Abschnitt 4).
+- Stichprobenweiser Hash-Vergleich migrierter Binärdateien (Objekt-Storage) gegen Quelle.
+- Retention-Fristen: für eine Stichprobe von Objekten mit `retain_until` in der Zukunft prüfen, dass die Frist nach der Migration identisch ist.
+- Audit-Log-Kontinuität: ältester und neuester Eintrag je Tenant nach Migration mit Quelle abgleichen (keine Lücke, keine Zeitverschiebung).
+- Login-Test mit migrierten Zugangsdaten für eine Stichprobe von Benutzern je Tenant.
+
+## 7. Rollback
+
+Da Big Bang gewählt wurde, muss der Rollback-Pfad vor dem Stichtag feststehen, nicht danach improvisiert werden:
+- Altsysteme werden am Stichtag NICHT gelöscht, nur in Wartungsmodus versetzt (siehe Abschnitt 5) — Rollback heißt: Wartungsmodus aufheben, NEXARCH-Freischaltung zurücknehmen.
+- Rollback-Entscheidung an klare Kriterien binden (z.B. Verifikation in Abschnitt 6 schlägt für mehr als X % der Tenants fehl) statt Einzelfallentscheidung unter Zeitdruck am Stichtag selbst.
+
+## 8. Offene Punkte
+
+- Tenant-Matching-Liste (Abschnitt 2) muss von der Geschäftsseite gepflegt werden, nicht rein technisch ableitbar — braucht personelle Zuständigkeit.
+- Dauer des Parallelbetriebs (90 Tage vorgeschlagen) ist noch nicht mit Vertrags-/Compliance-Anforderungen abgeglichen.
+- Migrations-Tickets selbst (konkrete Kachel-Boards für die Migrationsskripte je Zielsystem) sind noch nicht angelegt — dieses Dokument beschreibt das Konzept, keine Umsetzungs-Kacheln.

PRODUKTARCHITEKTUR.md

@@ -0,0 +1,111 @@
+# NEXARCH 2.0 – Produktarchitektur
+
+Stand: 2026-08-26. Zusammenführung aller bisherigen Entscheidungen aus `nexarch-state.json` und den sieben Boards zu einem lesbaren Gesamtbild. Kein neues Konzept — reine Synthese des bereits Entschiedenen.
+
+## 1. Produktvision
+
+NEXARCH ist die Nachfolgeplattform von **archivmail** (E-Mail-Archivierung) und **archivdms** (Dokumentenmanagement) — nicht als Umbenennung, sondern als modulare Neuentwicklung unter der Positionierung **"Next Generation Information Management"**: E-Mails, Dokumente, digitale Archivierung, OCR, Volltextsuche, Workflows, Compliance, Integrationen, KI — als ein zusammenhängendes System, nicht als zwei getrennte Werkzeuge nebeneinander.
+
+## 2. Architekturprinzip
+
+**Ein modularer Monolith aus sieben eigenständigen, aber koordinierten Diensten** — kein Microservice-Zwang, aber klare Dienstgrenzen mit eigenem Datenmodell, eigenem Go-Binary, eigenem Kanban-Board:
+
+```
+                          ┌─────────────┐
+                          │    Core     │   Identity · Tenancy · Auth · Rollen
+                          │  (53 T/142) │   Lizenzierung · Audit · Config
+                          └──────┬──────┘   API-Grundgerüst · Monitoring
+                                 │  (JWKS, Service-Credentials, Rückkanal-APIs)
+        ┌───────────┬───────────┼───────────┬───────────┬───────────┐
+        ▼           ▼           ▼           ▼           ▼           ▼
+     ┌─────┐     ┌─────┐    ┌────────┐  ┌──────────┐ ┌─────┐    ┌─────────┐
+     │ DMS │     │Mail │    │Archive │  │ Workflow │ │ AI  │    │ Connect │
+     │64/195│    │59/151│   │27/73   │  │28/76     │ │40/113│   │27/75    │
+     └─────┘     └─────┘    └────────┘  └──────────┘ └─────┘    └─────────┘
+   Dokumente    E-Mail    Retention/   Genehmigung/  KI-Klassi-  ERP/DATEV/
+   Ordner/Akte  IMAP/SMTP WORM/Backup  Akte/Vermerk/ fizierung/  M365/Fremd-
+   Metadaten    Postfach  eDiscovery   Wiedervorlage Extraktion/ DMS/Backup-
+   Versionen    Import    Kennzahlen   Routing       Chat        Ziele
+```
+
+(T = Tickets, letzte Zahl = Personentage — Stand siehe `nexarch-state.json` → `boards`.)
+
+Jedes Fachmodul (DMS/Mail/Archive/Workflow/AI/Connect) hat sein **eigenes Datenmodell für seinen Fachgegenstand**, implementiert aber **keine eigene Identität/Rechte/Mandantenlogik** — das ist die zentrale Architekturentscheidung, aus drei Konsolidierungsrunden hervorgegangen (Abschnitt 4).
+
+## 3. Warum sieben Boards und nicht mehr oder weniger
+
+Die Aufteilung ist nicht die ursprünglich im Master-Prompt skizzierte (die u.a. Search und OCR als eigene Module vorsah) — sie hat sich beim Durcharbeiten verschoben:
+
+- **Search/OCR bleiben je Fachmodul** (DMS und Mail haben je eigene `SRC`-Epics) — bewusste Entscheidung, weil E-Mail- und Dokument-Suche als hinreichend unterschiedlich bewertet wurden, um eine gemeinsame Suchschicht nicht zu rechtfertigen.
+- **Archive, Workflow, AI und Connect** sind dagegen als eigene Boards entstanden, weil beim Bauen von DMS/Mail wiederholt auffiel, dass dieselbe Fachlogik (Retention/WORM, Genehmigungsprozesse, KI-Klassifizierung, API-Infrastruktur) unabhängig in mehreren Boards geplant wurde — siehe Abschnitt 4.
+
+## 4. Konsolidierungsverlauf — was zentral wurde und warum
+
+Vier Konsolidierungsrunden, jede aus demselben wiederkehrenden Muster: zwei oder mehr Boards planten dieselbe Fachlogik unabhängig voneinander.
+
+| Fachlogik | War dupliziert in | Jetzt zentral in | Ergebnis |
+|---|---|---|---|
+| Benutzer, Rollen, SSO, LDAP, Mandanten | DMS (FDN-05, IAM-01..07) | **Core** | DMS 87→79 Tickets |
+| Retention, WORM, Compliance, Backup, Kennzahlen | DMS (REP-01..06), Mail (REP-01..09) | **Archive** | DMS 79→73, Mail 70→61 |
+| Workflow-Engine, Genehmigungen, Aufgaben, Routing | DMS (WFL-01..07) | **Workflow** | DMS 73→66 |
+| KI-Klassifizierung/Extraktion/Zusammenfassung | DMS (MET-06) | **AI** | DMS 66→65 |
+| REST-API-Grundgerüst, Token, Rate-Limiting, Webhooks | DMS (INT-01/02/05), Mail (INT-01/02/03/04) | **Core** | DMS 66→64, Mail 62→59 |
+| Krypto-Master-Key-Verwaltung | DMS (FDN-09), Mail (ARC-02) — je eigene Schlüsselverwaltung | **Core** (nur Master-Key, Objekt-Verschlüsselung bleibt modul-lokal) | kein Ticketverlust, aber Duplikat im sicherheitskritischsten Bereich beseitigt |
+
+Die Konsequenz für das Architekturbild: **Core ist nicht "noch ein Modul", sondern das Fundament, auf dem alle anderen sechs aufbauen** — sichtbar auch daran, dass Connect (das jüngste, am weitesten außen liegende Board) am stärksten von einem vollständigen Core abhängt (sieben verschiedene Core-API-Tickets, siehe `ROADMAP.md` Abschnitt 1).
+
+## 5. Modulübergreifende Referenz-Architektur
+
+Kein Modul kopiert die Daten eines anderen — stattdessen ein wiederkehrendes **Adapter-Muster**, in drei Varianten je nach Zweck:
+
+1. **Push-Registrierung** (Archive `RET-05`, Workflow `ENG-02`, AI `GOV-01`): DMS/Mail melden ein Objekt (Dokument-ID, Mail-ID) bei einem Querschnitts-Board an, ohne dessen Rohdaten zu duplizieren — Archive weiß dann "dieses Objekt hat eine Aufbewahrungsfrist", Workflow weiß "dieses Objekt gehört zu einer Akte", ohne den Dokumentinhalt selbst zu besitzen.
+2. **Pull-Rückkanal** (Workflow `VOR-04`): die Gegenrichtung — DMS/Mail fragen bei Workflow ab, was zu einem Objekt bekannt ist (Vermerke, Wiedervorlage), damit diese Information im Ursprungsmodul sichtbar wird, statt nur in einer separaten Workflow-Oberfläche zu verschwinden. Ohne diesen Rückkanal wäre die Push-Registrierung für Anwender faktisch unsichtbar — dieser Zusammenhang wurde erst nachträglich im Gespräch aufgedeckt, nicht von Anfang an mitgeplant.
+3. **Externe Konnektoren** (Connect `ENG-01`..`DMS2-03`): dieselbe Idee nach außen gewendet — Fremdsysteme (ERP, DATEV, M365, andere DMS) werden über Connector-Adapter angebunden, nicht durch Direktintegration in jedem Fachmodul einzeln.
+
+Gemeinsamer Nenner aller drei: **Referenz statt Kopie, Adapter statt Direktkopplung.**
+
+Dasselbe Prinzip gilt auch innerhalb eines Moduls, auf Code-Ebene: Hauptdateien/Entry-Points bleiben klein, Fachlogik wandert in eigene Module. Vor einer neuen Funktions-/Modul-Datei wird geprüft, ob dieselbe Funktionalität nicht schon woanders existiert (auch modulübergreifend, z. B. in Core) — keine doppelten Funktionsdateien. Das eigene Kanban-Planungswerkzeug wurde nach genau diesem Muster korrigiert (sieben `kanban.html` enthielten identisches JS/CSS als Volltext-Duplikat, jetzt in `_shared/kanban.js`/`kanban.css` ausgelagert, siehe `nexarch-state.json` Entscheidungsverlauf) — dasselbe gilt für den eigentlichen NEXARCH-Code, nicht nur für das Planungswerkzeug drumherum.
+
+## 6. Technische Architektur (Kurzfassung, Details in eigenen Dokumenten)
+
+| Ebene | Entscheidung | Vertiefung |
+|---|---|---|
+| Backend | Go (net/http, pgx/v5), ein Binary pro Modul | `PROXMOX-DEPLOYMENT.md` |
+| Datenbank | PostgreSQL, Modell C (eine physisch getrennte Datenbank je Mandant plus Registry, RLS redundant) | `SKALIERUNGSKONZEPT.md` Abschnitt 4 |
+| Suche | Manticore (BM25), je Modul eigener Index | `SKALIERUNGSKONZEPT.md` Abschnitt 5 |
+| Warteschlange | Postgres-Jobqueue, kein Redis | `SKALIERUNGSKONZEPT.md` Abschnitt 7 |
+| Storage | S3-kompatible Abstraktion, einheitliche Pfadkonvention | `STORAGE-KONZEPT.md` |
+| Frontend | Next.js/React/TypeScript | — |
+| Auth | JWT + lokale JWKS-Verifikation (kein synchroner Core-Zwang pro Request) | `SICHERHEITSKONZEPT.md` Abschnitt 1, Core `API-05` |
+| Deployment | natives systemd, Docker optional für SaaS | `PROXMOX-DEPLOYMENT.md` |
+| Hochverfügbarkeit | Core-Anwendungsschicht zustandslos, Postgres-Primary/Replica-Failover ab Stufe 2 | `SKALIERUNGSKONZEPT.md` Abschnitt 10 |
+
+## 7. Betriebsmodelle
+
+Drei Stufen, ein Techstack (kein Sonderpfad für SaaS vs. On-Premise, außer Docker als SaaS-Zusatzoption):
+
+- **Stufe 1** — Einzel-Proxmox-LXC, für kleine/mittlere Kunden, On-Premise-Standardfall.
+- **Stufe 2** — verteilte Installation, mehrere App-Instanzen + Primary/Replica-DB, für größere Kunden oder den SaaS-Betrieb des Anbieters selbst.
+- **Stufe 3** — dedizierte Instanz pro Großkunde (Private Cloud), strukturell Stufe 1 oder 2, nur organisatorisch als eigene Umgebung abgegrenzt.
+
+Was noch fehlt: eine konkrete Preis-/Lizenzstruktur (Benutzer/Monat vs. Modul/Monat vs. Enterprise) — die TECHNISCHE Seite der Lizenzierung (Core `LIC`-Epic: Feature-Flags, Modulaktivierung pro Tenant, Nutzungszähler inkl. Speicherverbrauch) ist fertig geplant, die GESCHÄFTLICHE Seite (was kostet was) ist eine offene Entscheidung, siehe `nexarch-state.json` → `fehlende_konzeptdokumente`.
+
+## 8. Migration von den Altsystemen
+
+Eigenes Dokument (`MIGRATIONSKONZEPT.md`), hier nur die Kernaussage: Big-Bang-Stichtag mit vorgeschalteter Generalprobe, größtes Einzelrisiko ist die Zusammenführung von Tenants/Benutzern, die in archivmail und archivdms unabhängig, aber teilweise für dieselben Kunden entstanden sind — mit Pflicht-Freigabe durch einen Menschen, kein automatischer Merge.
+
+## 9. Dokumentenlandkarte
+
+| Dokument | Inhalt |
+|---|---|
+| `nexarch-state.json` | maschinenlesbarer Gesamtzustand, Entscheidungsverlauf, Board-Zahlen |
+| `PRODUKTARCHITEKTUR.md` | dieses Dokument — lesbare Gesamtübersicht |
+| `MIGRATIONSKONZEPT.md` | Datenübernahme aus archivmail/archivdms |
+| `SKALIERUNGSKONZEPT.md` | Wachstumspfad, Betriebsstufen, Core-Hochverfügbarkeit |
+| `STORAGE-KONZEPT.md` | Objekt-Storage, Pfadkonvention, Lebenszyklus |
+| `SICHERHEITSKONZEPT.md` | Auth/Autorisierung/Verschlüsselung/Incident-Response |
+| `PROXMOX-DEPLOYMENT.md` | konkretes LXC-Layout je Betriebsstufe |
+| `ROADMAP.md` | Board-Reihenfolge, kritische Pfade, Phasenplan |
+| `MEMORY.md` / `nexarch-state.json` (Claude-Session-Speicher) | Einstiegspunkt für künftige Arbeitssitzungen |
+
+Noch offen: SaaS-/Multi-Tenant-Betriebsmodell als eigenes ausformuliertes Dokument (Abschnitt 7 hier deckt die technische Seite ab, nicht die vertraglich-organisatorische), UI/UX-Konzept, Lizenzmodell konkret (Preisgestaltung).

SAAS-BETRIEBSMODELL.md

@@ -0,0 +1,60 @@
+# NEXARCH 2.0 – SaaS-/Multi-Tenant-Betriebsmodell (vertraglich-organisatorisch)
+
+Stand: 2026-08-26. **Kein Rechtsdokument, keine Rechtsberatung.** Strukturiert die vertraglich-organisatorischen Fragen, die aus den bereits getroffenen TECHNISCHEN Entscheidungen entstehen (`PRODUKTARCHITEKTUR.md` Abschnitt 7, `SKALIERUNGSKONZEPT.md`, `PROXMOX-DEPLOYMENT.md`), und macht sie sichtbar, bevor sie in echte Verträge/AGB übersetzt werden — die eigentliche Formulierung braucht juristische Prüfung, hier geht es nur darum, was die Technik dem Vertrag vorgibt bzw. wo der Vertrag von der Technik abhängt.
+
+## 1. Drei Betriebsmodelle, drei unterschiedliche Vertragslogiken
+
+| Modell | Wer betreibt | Wer ist DSGVO-"Verantwortlicher" | Wer ist "Auftragsverarbeiter" |
+|---|---|---|---|
+| SaaS (Stufe 1/2 beim Anbieter) | NEXARCH-Anbieter | Kunde | NEXARCH-Anbieter |
+| On-Premise (Stufe 1 beim Kunden) | Kunde selbst | Kunde | — (kein Auftragsverarbeitungsverhältnis mit NEXARCH-Anbieter, ggf. Softwarelizenzvertrag statt AVV) |
+| Private Cloud (Stufe 3, dediziert) | je nach Vereinbarung: Anbieter ODER Kunde | Kunde | Anbieter, falls Anbieter betreibt |
+
+Diese Zuordnung ist keine Neuigkeit, aber wichtig als Ausgangspunkt: **nur beim SaaS- und beim betriebenen Private-Cloud-Modell braucht es einen Auftragsverarbeitungsvertrag (AVV nach Art. 28 DSGVO)** zwischen NEXARCH-Anbieter und Kunde — beim reinen On-Premise-Modell (Kunde installiert selbst gemäß `PROXMOX-DEPLOYMENT.md` Abschnitt 2) fehlt die Auftragsverarbeitungsbeziehung, dafür braucht es einen klaren Software-Lizenzvertrag.
+
+## 2. Mandantentrennung — was die Technik jetzt zusichern kann
+
+**Geändert:** Core setzt **Modell C** um — eine eigene, physisch getrennte Datenbank je Mandant (Core `TEN-01`/`TEN-06`/`TEN-07`), keine gemeinsame Datenbank mit applikationsseitiger Filterung mehr. Das verschiebt, was der Vertrag ehrlich versprechen kann:
+
+- **Ein SaaS-Vertrag darf jetzt "physische Datentrennung" zusichern** — die Isolation hängt nicht mehr davon ab, dass jede einzelne Datenbank-Query korrekt gefiltert ist, sondern davon, dass ein Mandant technisch gar keine Verbindung zur Datenbank eines anderen Mandanten hat. Das ist eine belastbarere Zusage als applikationsseitige Filterung.
+- Die Formulierung sollte trotzdem präzise bleiben: physisch getrennt sind die **Datenbanken**, nicht zwingend die komplette Infrastruktur (mehrere Tenant-Datenbanken können auf demselben Postgres-Server/derselben Hardware laufen, siehe `SKALIERUNGSKONZEPT.md` Abschnitt 3/4) — das ist immer noch ein starkes, aber kein "dedizierter Server pro Kunde"-Versprechen. Für Letzteres bleibt **Stufe 3** (dedizierte Instanz) die richtige Antwort, jetzt als zusätzliche Infrastruktur-Trennung obendrauf, nicht als einzige Isolationsebene.
+- Praktischer Zusatznutzen für den Vertrag: eine Tenant-Datenbank lässt sich als Ganzes zwischen On-Premise- und SaaS-Betrieb verschieben (Dump/Restore) — das erleichtert vertraglich zugesicherte Wechsel des Betriebsmodells (z.B. Exit aus SaaS zurück zu On-Premise, siehe Abschnitt 6) technisch, nicht nur organisatorisch.
+
+## 3. Verfügbarkeits-SLA je Stufe — Vertrag darf der Technik nicht vorauslaufen
+
+`SKALIERUNGSKONZEPT.md` Abschnitt 10: **Stufe 1 hat kein Live-Failover**, nur Backup/Restore. Eine hohe Verfügbarkeits-SLA (z.B. "99,9 % Uptime") ist auf Stufe-1-Infrastruktur technisch nicht seriös zusicherbar — Ausfallzeit bei einem DB-Problem ist die Zeit bis zum Restore, nicht Sekunden/Minuten.
+
+Vorschlag: SLA-Stufen an die technischen Betriebsstufen koppeln, nicht pauschal für alle SaaS-Kunden gleich versprechen:
+- **Stufe 1** (kleine SaaS-Tarife): Best-Effort, kein hartes Uptime-Versprechen, klar kommunizierte Restore-Zeit (RTO) statt Failover-Zeit.
+- **Stufe 2** (Primary/Replica-Failover vorhanden): belastbare Uptime-SLA möglich, da automatisches Failover technisch existiert.
+- **Stufe 3**: vertraglich individuell, da Infrastruktur ohnehin verhandelt wird (siehe `LIZENZMODELL.md`).
+
+## 4. Backup, RPO/RTO — technisch vorhanden, vertraglich noch nicht beziffert
+
+Archive `BAK-01/02/03` liefert die Mechanik (Backup-Strategie, Snapshots, Restore-Verfahren) — was fehlt, ist eine vertraglich zugesicherte Zahl: **Recovery Point Objective (wie viel Datenverlust maximal) und Recovery Time Objective (wie lange Restore maximal dauert)** sind bisher nirgends als konkreter Wert festgelegt, weder technisch noch vertraglich. Das ist eine Lücke, die vor dem ersten SaaS-Vertrag geschlossen werden sollte — vermutlich durch einen Test des tatsächlichen Backup/Restore-Zyklus (Archive `BAK-06` Restore-Testverfahren liefert die Datengrundlage dafür).
+
+## 5. Incident-Meldung — Core OPS-04 als vertragliche Grundlage
+
+Core `OPS-04` (Incident-Response-Plan, DSGVO-72-Stunden-Meldefrist, siehe `SICHERHEITSKONZEPT.md`) ist die technisch-organisatorische Seite. Der AVV muss diese Meldefrist gegenüber dem Kunden UND die Kette zur Aufsichtsbehörde vertraglich abbilden — technisch ist der Prozess vorbereitet, die vertragliche Formulierung (wer meldet wem in welcher Frist) ist eigenständig zu formulieren, nicht aus `OPS-04` ableitbar.
+
+## 5a. Auftragsverarbeitung bei externem KI-Anbieter — AI `ENG-03`
+
+AI `ENG-03` erlaubt optional einen externen, OpenAI-kompatiblen Cloud-Anbieter als Alternative zum lokalen Ollama-Standardbetrieb; `GOV-03` steuert je Tenant, ob Inferenz lokal oder extern läuft, und schließt Training auf Kundendaten aus (siehe `SICHERHEITSKONZEPT.md` Abschnitt 18, Finding #6). Technisch ist die Trennung damit vorbereitet — vertraglich fehlt: ein Auftragsverarbeitungsvertrag (AVV) mit jedem für einen Tenant aktivierbaren externen KI-Anbieter, bevor dessen Aktivierung für diesen Tenant freigegeben wird. Kein technisches Ticket nötig (die Umschaltung selbst existiert bereits über `GOV-03`), aber ein organisatorischer Prozess: externe Anbieter dürfen für einen Tenant erst in `GOV-03` aktivierbar sein, wenn ein AVV mit diesem Anbieter vorliegt — sonst bleibt die Tenant-Konfiguration auf "nur lokal" beschränkt.
+
+## 6. Exit-Strategie & Datenrückgabe bei Vertragsende
+
+Technisch bereits abgedeckt: DMS `DOC-08` (Massenexport), Mail `ARC-07` (Export/Portabilität), Connect `DMS2-01` (offenes Austauschformat) — die ecoDMS-Lehre "kein Vendor-Lock" (`STORAGE-KONZEPT.md` Abschnitt 8) gilt technisch bereits.
+
+Vertraglich fehlt: eine zugesicherte Frist, in der Kundendaten nach Kündigung exportierbar bleiben, bevor sie gelöscht werden — vergleichbar mit der Parallelbetriebsfrist im `MIGRATIONSKONZEPT.md` (dort 90 Tage für den Altsystem-Übergang vorgeschlagen, hier für den umgekehrten Fall: Kunde verlässt NEXARCH). Kein technisches Ticket dafür nötig (Export-Mechanik existiert), nur eine vertragliche Frist plus ggf. ein Ablaufprozess ("Datenlöschung nach Fristablauf" als Anwendung der Archive-Retention-Engine, aber in die andere Richtung: nicht Aufbewahrung erzwingen, sondern nach Frist tatsächlich löschen).
+
+## 7. Modul-Deaktivierung während der Laufzeit — technische Lücke
+
+Core `LIC-02` schaltet Module per Feature-Flag ab, wenn eine Lizenz das vorsieht (Kunde bucht z.B. AI ab). **Was mit den Daten des deaktivierten Moduls passiert, ist nirgends spezifiziert** — bleiben sie erhalten (nur Zugriff gesperrt) oder werden sie gelöscht? Das ist sowohl eine technische als auch eine vertragliche Frage, die aktuell in keinem Ticket beantwortet ist. Vorschlag: Deaktivierung sperrt nur den Zugriff, löscht nichts automatisch (konsistent mit der generellen Linie "Löschung nur über die Archive-Retention-Engine", siehe `STORAGE-KONZEPT.md` Abschnitt 4) — sollte aber als explizites Akzeptanzkriterium in `LIC-02` nachgezogen werden, falls das noch nicht der Fall ist.
+
+## 8. Offene Punkte
+
+- RPO/RTO-Werte fehlen (Abschnitt 4) — brauchen einen tatsächlichen Restore-Test, bevor sie vertraglich zugesichert werden können.
+- Modul-Deaktivierung ohne Datenverlust ist als Verhalten plausibel, aber nicht als Akzeptanzkriterium in Core `LIC-02` verankert — sollte geprüft/ergänzt werden.
+- Exit-Frist (Abschnitt 6) ist ein reiner Vertragswert, keine Technik — muss vom Geschäft festgelegt werden, ähnlich wie die Preisgestaltung in `LIZENZMODELL.md`.
+- Dieses Dokument ersetzt keine juristische Prüfung von AVV/AGB — es benennt nur, wo Vertrag und Technik zusammenpassen müssen.
+- AVV mit externen KI-Anbietern (Abschnitt 5a) ist ein reiner Vertragsschritt, keine Technik — muss vor Freigabe eines externen Anbieters in `GOV-03` je Tenant vorliegen.

SICHERHEITSKONZEPT.md

@@ -0,0 +1,420 @@
+# NEXARCH 2.0 – Sicherheitskonzept
+
+Stand: 2026-08-26, alle 10 Punkte in Abschnitt 11 zwischen 2026-08-28 geklärt oder durch neue Tickets adressiert (Core OPS-06, Core IAM-15, DMS SRC-11, Mail SRC-11). Grundlage: `nexarch-state.json`, `SKALIERUNGSKONZEPT.md`, `STORAGE-KONZEPT.md`, `core-kanban/`, `dms-kanban/`, `mail-kanban/`, `archive-kanban/`, `workflow-kanban/`, `dms-kanban/known-issues-archivdms.md`, `dms-kanban/known-issues-archivmail.md`.
+
+Dieses Dokument führt keine neue Architektur ein. Es fasst die bereits in den sieben Boards getroffenen sicherheitsrelevanten Einzelentscheidungen zu einem Gesamtbild zusammen und prüft dabei — nach demselben Muster wie `STORAGE-KONZEPT.md` — auf Lücken und Widersprüche. Prüfraster: OWASP Top 10, angewendet auf den tatsächlichen NEXARCH-Techstack (Go, PostgreSQL, JWT, S3-kompatibler Storage, Manticore), nicht generisch abgehandelt.
+
+## 1. Authentifizierung
+
+| Baustein | Entscheidung | Ticket |
+|---|---|---|
+| Passwort-Hashing | bcrypt (bewusst nicht Argon2) | `nexarch-state.json` Techstack |
+| Token | JWT, zustandslos, lokale Signaturverifikation via JWKS-ähnlichem Mechanismus mit `kid`-Rotation | Core `API-05` |
+| Zweiter Faktor | TOTP (RFC 6238), Einrichtung, Wiederherstellungscodes, pro Tenant erzwingbar | Core `IAM-04` |
+| Verzeichnisanbindung | LDAP-Abgleich | Core `IAM-05` |
+| Föderation | SSO/OIDC | Core `IAM-06` |
+| Brute-Force-Schutz | Account-Lockout / Rate-Limiting am Login | Core `IAM-07` |
+
+Die Wahl bcrypt statt Argon2 ist im Entscheidungsverlauf nicht mit einer eigenen Begründung hinterlegt (`nexarch-state.json` Techstack-Feld nennt es nur als Faktum). Das ist keine Sicherheitslücke — bcrypt gilt weiterhin als solide, solange Kostenfaktor aktuell gehalten wird — aber eine unbegründete Abweichung vom heute üblichen Argon2id-Standard sollte im Core-Board mindestens als bewusste Entscheidung mit Kostenfaktor-Wert dokumentiert werden, nicht nur als Faktenzeile in der State-Datei.
+
+**Korrektur gegenüber archivdms:** `known-issues-archivdms.md` Punkt 9 beschreibt einen In-Memory-Rate-Limiter ohne Shared State (`internal/auth/ratelimit.go`) — bei Mehrinstanz-Deployment pro Instanz getrennt und damit aushebelbar. `SKALIERUNGSKONZEPT.md` Abschnitt 1 hält fest, dass Core `IAM-07`/`API-03` Rate-Limiting mit **shared state statt in-process** umsetzt. Damit ist der konkrete archivdms-Fehler für den Login-Pfad explizit adressiert.
+
+2FA-Aktivierungspflicht ist laut `IAM-04` pro Tenant konfigurierbar, nicht global erzwungen — das ist eine bewusste Flexibilitätsentscheidung (SaaS-Betrieb mit unterschiedlichen Kundenanforderungen), sollte aber im Betriebshandbuch als Empfehlung ("2FA-Pflicht für Admin-Rollen mindestens") festgehalten werden, sobald ein Betriebshandbuch existiert (siehe `fehlende_konzeptdokumente`).
+
+## 2. Autorisierung / Zugriffskontrolle
+
+RBAC ist vollständig in Core zentralisiert (`RBAC-01`..`RBAC-05`) — kein Modul implementiert eigene Rechteprüfung, das ist direkte Konsequenz der IAM-Konsolidierung (`nexarch-state.json` Entscheidungsverlauf "Konsolidierung IAM").
+
+**Korrektur gegenüber archivmail:** `known-issues-archivmail.md` Punkt 7 beschreibt Tenant-Filterung als **Post-Filter statt in der Query** (`internal/api/ediscovery.go:90`) — fehleranfällig, weil jeder neue Codepfad das Filtern erneut korrekt implementieren muss. Die Notiz im selben Dokument ordnet das explizit auch DMS `IAM-03` ("Policy-Enforcement — zentral, nicht pro Handler") zu. Das Prinzip "Tenant-/Rechte-Scoping ausschließlich in der Query-/Repository-Schicht, nie als Post-Filter im Handler" ist damit als Korrektur benannt, aber es lohnt sich, es hier noch einmal projektweit festzuhalten: Diese Regel gilt für **jedes** Modul, das gegen die zentrale Core-RBAC-Prüfung arbeitet (DMS, Mail, Archive, Workflow, AI, Connect gleichermaßen), nicht nur für die ursprünglich betroffene eDiscovery-Funktion.
+
+**Tenant-Isolation — strukturell gelöst durch Modell C:** Multi-Tenancy läuft nach Modell C: eine physisch getrennte Datenbank je Mandant plus schlanke Registry (Core `TEN-01`/`TEN-06`/`TEN-07`, `nexarch-state.json` `multi_tenancy`, Begründung in `SKALIERUNGSKONZEPT.md` Abschnitt 4). Ein vergessener `tenant_id`-Filter kann damit keine fremden Daten mehr liefern, weil sie in der angesprochenen Datenbank nicht existieren; die Fehlerklasse aus `known-issues-archivdms.md` (Punkte 9/10, Tenant-Scoping-Fragilität) und `known-issues-archivmail.md` (#2/#7) ist strukturell beseitigt, nicht nur unwahrscheinlicher. Row-Level-Security ist bei physischer Trennung redundant und nicht vorgesehen. Die harte Regel aus dem vorigen Absatz (Rechte-Scoping zentral in der Repository-Schicht, nie als Post-Filter im Handler) bleibt bestehen, denn sie betrifft die Rechte *innerhalb* eines Mandanten (Ordner, Dokumente, Rollen), nicht die Mandantentrennung; `known-issues-archivdms.md` Punkt 2 fordert dafür eine Testpflicht als Merge-Gate, die bisher in keinem QA-Ticket als projektweite CI-Regel verankert ist (siehe Abschnitt 10). Verbleibendes Restrisiko liegt nicht mehr im Filter, sondern in der Zuordnung Mandant → Datenbank (Registry, Verbindungsinformation) und in mandantenübergreifenden Prozessspeichern (Caches, Pools): Kompensation sind der Pflicht-Tenant-Kontext bei jedem Modulaufruf (DMS `INT-16`), mandantengetrennte Cache-Schlüssel (Core `RBAC-10`) und der Mandant aus dem Token statt aus Anfrageparametern.
+
+**Superadmin-Sonderfall:** `known-issues-archivdms.md` Punkt 4 beschreibt einen wiederholt vergessenen Superadmin-ohne-Tenant-Zustand (403 "tenant context required", mehrfach nachträglich gepatcht). Kein Core-Ticket in der gelesenen Auswahl adressiert das explizit als First-Class-Datenmodell-Zustand — siehe Offene Punkte (Abschnitt 11).
+
+## 3. Injection-Schutz
+
+Dynamische SQL-Klauseln/Tabellennamen via `fmt.Sprintf` bzw. String-Konkatenation waren ein wiederkehrendes Antipattern in beiden Altsystemen:
+
+- archivdms: `known-issues-archivdms.md` Punkt 10 — dynamische Tabellennamen via `fmt.Sprintf` (`taxonomy.go`, `workflows.go`, `classification_templates_title.go`, `internal/index/manticore.go`), zur Tatzeit nur durch eine Whitelist-Funktion abgesichert, als "fragiles Muster" bewertet.
+- archivmail: `known-issues-archivmail.md` Punkte 11/12 — dynamische SQL-Klauseln via Sprintf/Join (`internal/index/manticore.go:268,323`, `internal/storage/ocr.go:159`), gleiches Muster zweimal dupliziert.
+
+Beide Fundstellen betreffen denselben Bereich: Suchindex-/Query-Aufbau gegen Manticore bzw. Postgres mit dynamischen Feldlisten. Die Korrektur ist in den entsprechenden Suchindex-Tickets verankert: DMS `SRC-01`, Mail `SRC-01` (Suchindex/Such-API-Grundlage der jeweiligen Module). Die verbindliche Regel aus beiden Known-Issues-Dokumenten lautet übereinstimmend: **Spalten-/Tabellennamen ausschließlich aus statischen Konstanten bzw. einem geschlossenen Enum/Switch-Typ, nie aus Nutzereingabe oder generischem String-Zusammenbau, auch nicht hinter einer Whitelist-Funktion.** Ein zentraler, getesteter Query-Builder mit Feld-Whitelist (`known-issues-archivmail.md` Punkt 12) ist der empfohlene Ansatz — ob dieser als gemeinsame Utility zwischen DMS `SRC-01` und Mail `SRC-01` geteilt wird oder je Modul separat entsteht, ist in keinem der beiden Tickets festgelegt (siehe Offene Punkte).
+
+## 4. Sensible Daten / Verschlüsselung
+
+| Baustein | Entscheidung | Ticket |
+|---|---|---|
+| Verschlüsselung at rest | AES-256-GCM, Envelope Encryption | DMS `FDN-09`, Mail `ARC-02` |
+| Reihenfolge Hash/Verschlüsseln | SHA-256-Hash auf Klartext **vor** Verschlüsselung (sonst funktioniert Dublettenerkennung nie) | DMS `FDN-09`/`DOC-02`, Mail `ARC-02`/`ARC-03` |
+| Secrets | ausschließlich über Umgebungsvariablen, nie im Code | durchgängige Ticket-Regel (Abschlussabschnitt jedes Tickets, u.a. explizit in `IAM-04`..`IAM-07`, `RBAC-01`..`RBAC-05`, `API-02`..`API-06`, `AUD-05`) |
+| Audit-Log-Aufbewahrung | append-only (`AUD-02`), Retention über Archive-Engine statt eigener Löschlogik, Default 10 Jahre (GoBD-Buchungsbeleg-Frist) | Core `AUD-05`, Archive `RET-01`/`RET-02`/`RET-05` |
+
+Die Hash-vor-Verschlüsseln-Reihenfolge ist ein gutes Beispiel für eine bereits im Projekt selbst aufgedeckte und behobene Lücke: laut Entscheidungsverlauf fehlte sie zunächst im Mail-Board (`ARC-02`/`ARC-03`), obwohl DMS (`FDN-09`) sie schon hatte, und wurde nachgezogen — dokumentiert in `nexarch-state.json` unter "Duplikatserkennung vor Weiterverarbeitung".
+
+**Schlüsselverwaltung/-rotation — geklärt (2026-08-27):** Zweistufige Schlüsselhierarchie statt eines einzelnen globalen Master-Key. Core hält EINEN Master-Key (Root-KEK, über Umgebungsvariable/Secret-Provider, austauschbar gegen echten KMS-Dienst), der ausschließlich **Tenant-Schlüssel** (Tenant-KEK) verpackt — niemals Objekte direkt. Jeder Mandant erhält bei seiner Provisionierung (`TEN-01`) einen eigenen Tenant-KEK, verschlüsselt mit dem Master-Key in der Registry abgelegt. DMS (`FDN-09`) und Mail (`ARC-02`) beziehen für ihre pro-Objekt-DEKs ausschließlich den entschlüsselten Tenant-KEK ihres jeweiligen Mandanten (nie den Master-Key direkt), authentifiziert über das Service-Credential aus `API-02`. Rotation ist auf beiden Ebenen unabhängig möglich, ohne Objektdaten neu zu verschlüsseln: Master-Key-Rotation verpackt nur alle Tenant-KEKs neu (klein, schnell), Tenant-KEK-Rotation verpackt nur die DEKs dieses einen Mandanten neu und berührt keinen anderen Tenant. Umgesetzt in Core `API-10`.
+
+**Begründung für die Tenant-Ebene:** Ein einzelner globaler Master-Key hätte einen gemeinsamen Blast-Radius für alle Mandanten geschaffen — ein kompromittierter Tenant-KEK (z. B. durch ein fehlerhaftes Modul-Log oder einen kompromittierten Service-Credential-Aufruf) betrifft mit der zweistufigen Hierarchie strukturell nur diesen EINEN Mandanten. Das ist die konsequente Fortsetzung der physischen Modell-C-Isolation (siehe TEN-01, Entscheidungsverlauf "Multi-Tenancy: Modell A -> Modell C") auch auf Schlüsselebene, statt einer Isolationslücke, die die sonstige Trennung wieder aufheben würde.
+
+Die JWT-Schlüsselrotation (Core-Public-Key, `kid`-Rotation) ist dagegen bereits ausformuliert (`SKALIERUNGSKONZEPT.md` Abschnitt 11 letzter Punkt, Core `API-05`): muss ohne Ausfallzeit anderer Module möglich sein. Das ist ein anderer Schlüssel als der Storage-Verschlüsselungs-Master-Key und löst dessen Rotationsfrage nicht mit.
+
+## 5. Eingabevalidierung / bekannte Angriffsvektoren aus den Altsystemen
+
+| Altsystem-Fund | Fundstelle | NEXARCH-Korrektur |
+|---|---|---|
+| Header-Injection bei E-Mail-Versand (From/To/Subject per Stringkonkatenation ohne CRLF-Prüfung) | `known-issues-archivmail.md` #1, `internal/mailer/mailer.go:144-146` | Mail `ING-03` — `net/mail`-Writer bzw. harte CRLF-/Steuerzeichen-Prüfung |
+| Ungebremstes Lesen von Anhängen (`io.ReadAll` ohne Größenlimit → Speicherbombe) | `known-issues-archivmail.md` #3, `pkg/mailparser/parser.go` | Mail `ING-04` (Ingestion) und DMS `DOC-01` (Upload-API) — `io.LimitReader` mit Max-Size, harte Ablehnung; explizit auch für DMS-Uploads übernommen, nicht nur Mail |
+| XSS-Risiko bei Anhang-/Dokument-Vorschau über iframe-Rendering von Fremdinhalt | `known-issues-archivmail.md` #9, positiv gelöst via `PdfCanvasPreview.tsx` (Canvas statt iframe) | DMS `DOC-05` (PDF-Viewer) und Mail `UX-03` — Canvas-Rendering von Anfang an, kein iframe/HTML-Rendering von Fremdinhalt |
+| Content-Type-Erkennung über Dateiendung statt Inhalt | `known-issues-archivmail.md` #8, `AttachmentPreviewDialog.tsx` | betrifft ebenfalls DOC-05 — serverseitige Magic-Bytes-Erkennung statt Dateiendung, im Ticket-Titel nicht explizit als Akzeptanzkriterium sichtbar (siehe Offene Punkte) |
+
+Die Speicherbomben-Korrektur (`DOC-01`/`ING-04`) ist im Entscheidungsverlauf nicht als eigener Eintrag sichtbar, aber laut Known-Issues-Dokument bereits als "betrifft auch DMS" annotiert — das Konzept übernimmt diese Zuordnung, prüft aber nicht, ob `DOC-01` das Größenlimit tatsächlich als Akzeptanzkriterium enthält oder nur als Empfehlung im Known-Issues-Dokument steht. Diese Prüfung sollte bei nächster Gelegenheit nachgeholt werden.
+
+## 6. Vertrauensstellung zwischen Modulen
+
+NEXARCH ist modular mit sieben eigenständigen Boards — Vertrauen zwischen Modul und Core (und indirekt zwischen Modulen) ist eine eigene Angriffsfläche, die in einem Monolithen nicht existieren würde.
+
+- **Modul vertraut Core:** asymmetrische JWT-Signatur, Core signiert mit privatem Schlüssel, Module verifizieren lokal mit öffentlichem Schlüssel über JWKS-ähnliche Verteilung mit `kid`-Rotation (Core `API-05`).
+- **Core vertraut Modul:** Service-Credential je Modul-Instanz, ausgestellt bei Provisionierung (Core `API-02`, erweitert). Notwendig, weil einseitiges Vertrauen (nur Module prüfen Core-Signatur) nicht ausreicht — Core muss bei Nachlieferung/Registrierung wissen, welche Modul-Instanz tatsächlich anfragt, sonst könnte sich ein fremder Absender als Modul ausgeben (`nexarch-state.json` Entscheidungsverlauf "Vertrauensstellung Core↔Module").
+- **Wiederanlauf nach Ausfall:** sofortiger Cache-Refresh per Health-Check-Trigger, gepufferte Audit-Events/Nutzungszähler werden über das Service-Credential authentifiziert nachgeliefert, Pufferqueue muss persistent sein (Core `API-06`).
+- **Rückkanal-API-Berechtigungsprüfung:** Workflow `VOR-04` (Pull-Rückkanal, damit DMS/Mail Akte/Vermerke/Wiedervorlage im eigenen Kontext anzeigen können) ist explizit als "read-only, berechtigungsgeprüft" spezifiziert — das ist der einzige Rückkanal (Pull), der zusätzlich zum bereits bestehenden Push-Kanal (Workflow `ENG-02`) existiert und daher eine eigene Berechtigungsprüfung braucht, nicht nur das Push-seitige Modul-Vertrauen wiederverwenden darf.
+
+Dieses wechselseitige Vertrauensmodell (asymmetrische Signatur + Service-Credential) ist die Antwort auf ein OWASP-Broken-Access-Control-Szenario, das speziell durch die Modul-Architektur entsteht und in einem monolithischen Altsystem (archivdms/archivmail) so nicht vorkam — beide Known-Issues-Dokumente enthalten dazu folgerichtig keinen Eintrag.
+
+## 7. Ausfallsicherheit als Sicherheitsthema
+
+Verfügbarkeit ist hier aufgeführt, weil ein unkontrollierter Core-Ausfall entweder zu Totalausfall der Plattform (worst case für Verfügbarkeit) oder — schlimmer — zu unkontrolliertem Fail-open bei Rechteprüfungen führen könnte, wenn nicht bewusst entschieden wird.
+
+- **Fail-open vs. fail-closed** ist explizit pro Aktionsklasse festgelegt (Core `API-05`/`API-06`, ausformuliert in `SKALIERUNGSKONZEPT.md` Abschnitt 11): Lesevorgänge mit abgelaufenem Rechte-Cache eher fail-open (letzter bekannter Stand gilt weiter), sicherheitskritische Aktionen (Rechteänderung, Löschung, Freigabe) eher fail-closed (lieber verweigern als mit veralteten Rechten ausführen). Das ist eine bewusste, dokumentierte Abwägung — kein Automatismus in eine Richtung.
+- **Core-Hochverfügbarkeit** selbst (`SKALIERUNGSKONZEPT.md` Abschnitt 10): Anwendungsschicht ist zustandslos, echter Single Point of Failure ist die Postgres-Instanz. Stufe 1 kein Live-Failover (Backup/Restore, Archive `BAK-03`), Stufe 2/3 Streaming-Replikation mit pg_auto_failover (LXC-tauglich) oder Patroni (Multi-Standort), Verbindungsindirektion via PgBouncer/HAProxy, Fencing gegen Split-Brain.
+- Wichtiger Nebeneffekt, im Skalierungskonzept explizit benannt: der JWKS-Mechanismus aus `API-05` bleibt während eines kurzen Core-DB-Failover-Fensters funktionsfähig, weil Signaturprüfung keine Core-DB-Verbindung braucht — Core-DB-Failover und die Resilienz der anderen Module sind zwei getrennte, sich gegenseitig entlastende Probleme.
+
+## 8. Sicherheitsrelevante Betriebsaspekte
+
+- **Transportverschlüsselung E-Mail:** TLS/STARTTLS für IMAP/POP3/SMTP (Mail `ING-06`).
+- **Kein direkter Storage-Zugriff:** Up-/Downloads laufen ausschließlich über zeitlich begrenzte signierte URLs, die das Backend ausstellt — Storage-Zugangsdaten erreichen nie den Browser (`STORAGE-KONZEPT.md` Abschnitt 5, DMS `FDN-03` Akzeptanzkriterium 2). Presigned-URL-Gültigkeit soll kurz und konfigurierbar gehalten werden (Minuten, nicht Stunden).
+- **Zentrales Rate-Limiting:** Core `API-03` mit Shared State statt in-process — korrigiert denselben archivdms-Mehrinstanz-Bug wie in Abschnitt 1 beschrieben, hier aber als API-weite (nicht nur Login-spezifische) Infrastruktur, seit der API/Token/Rate-Limiting-Konsolidierung (`nexarch-state.json` Entscheidungsverlauf) alleinige Quelle für alle Module — DMS/Mail betreiben kein eigenes Rate-Limiting mehr.
+
+## 9. Bewährte Muster, die bewusst übernommen werden
+
+Nicht jeder Fund in den Altsystemen ist ein Fehler. Beide Known-Issues-Dokumente benennen positiv zu übernehmende Muster ausdrücklich:
+
+- **Vier-Augen-Prinzip mit `FOR UPDATE`-Lock** bei Löschbestätigung (`known-issues-archivdms.md`, Abschnitt "Positiv zu übernehmende Muster") — im NEXARCH-Kontext die passende Entsprechung für Compliance-kritische Freigaben in Archive `CMP-06` (Vier-Augen-Prinzip), wo derselbe Lock-Mechanismus gegen doppelte/konkurrierende Freigabe schützen sollte.
+- **Timing-safe Vergleich** bei sicherheitsrelevanten Entscheidungen — in archivdms bei Share-Link-Passwortvergleich eingesetzt (`known-issues-archivdms.md`, Positiv-Abschnitt). Gilt als generelles Prinzip für jeden Vergleich, der eine Zugriffsentscheidung trifft (Passwort, Token, Signatur, Wiederherstellungscode aus `IAM-04`), nicht nur für Share-Links — sollte als projektweite Coding-Konvention (analog zur Sprintf-Verbots-Regel aus Abschnitt 3) festgehalten werden, ist aber in keinem Ticket als Konvention formuliert, nur implizit durch das positive Altsystem-Beispiel nahegelegt.
+- **Tenant-Filter in der Query, IDOR-Guards bei Shares** — ebenfalls aus archivdms als positiv übernommenes Muster gelistet; deckt sich mit der in Abschnitt 2 verlangten Regel (Scoping in der Repository-Schicht).
+
+## 10. CI/Merge-Gates für sicherheitsrelevanten Code
+
+`known-issues-archivdms.md` Punkt 2 fordert explizit Testpflicht für Auth/Tenant-Scoping/Retention als Merge-Gate; `known-issues-archivmail.md` Punkt 4 fordert dasselbe für Tenant-Scoping/Protokoll-State-Machines. Beide Forderungen sind in den Known-Issues-Dokumenten als Lehre formuliert, aber in keinem gelesenen QA-Ticket (Core `QA-01`..`QA-05`, DMS `QA-01`, Mail `QA-07`) als projektweite, verbindliche CI-Regel ("kein Merge auf sicherheitsrelevanten Code ohne Test") wiedergefunden. Das ist keine fehlende Einzelentscheidung, sondern eine fehlende Verallgemeinerung einer bereits zweimal unabhängig gemachten Erfahrung — siehe Offene Punkte.
+
+## 11. Offene Punkte
+
+Die folgenden Themen sind entweder in keinem Board bisher behandelt oder nur am Rand erwähnt, ohne dass ein Ticket sie abdeckt. Sie werden hier bewusst nur benannt, nicht mit erfundenen Tickets vorweggenommen — das entscheidet der Nutzer:
+
+1. ~~Security-Header für das Next.js-Frontend~~ — **geklärt (2026-08-28)**: Core `API-08` "Security-Header-Baseline für alle Frontends" deckt CSP, HSTS, X-Frame-Options, Referrer-Policy, X-Content-Type-Options als gemeinsame, wiederverwendbare Middleware ab, die jedes Modul-Frontend einbindet statt eigener Definition.
+
+2. ~~Dependency-/Supply-Chain-Sicherheit~~ — **geklärt (2026-08-28)**: neues Ticket Core `OPS-06` "Automatisiertes Schwachstellen-Scanning (Supply-Chain)" verankert `govulncheck` (Go-Module) und `npm audit`/Dependabot (Frontend-Pakete) als verbindlichen, blockierenden CI-Schritt über alle sieben Boards. Hängt im Core-Abschluss-Gate `QA-05`.
+
+3. ~~Schlüsselverwaltung/-rotation für den Storage-Verschlüsselungs-Master-Key~~ — **geklärt (2026-08-27), siehe Abschnitt 4**: zweistufige Hierarchie Master-KEK → Tenant-KEK → Objekt-DEK, umgesetzt in Core `API-10`.
+
+4. ~~Verschlüsselung in Transit zwischen Modulen~~ — **geklärt (2026-08-28)**: Core `API-09` "mTLS zwischen Modul-Instanzen (verteilte Installation)" deckt genau das ab — gegenseitige TLS-Authentifizierung zwischen allen sieben Modul-Instanzen für Stufe 2/3, optional für Stufe-1-Einzel-LXC. Hängt im Core-Abschluss-Gate `QA-04`. `PROXMOX-DEPLOYMENT.md` Abschnitt 3 referenziert es bereits korrekt als ab Stufe 2 verpflichtend.
+
+5. ~~Penetrationstest-Verfahren vor Produktivbetrieb~~ — **geklärt (2026-08-28)**: Core `QA-06` "Externe Sicherheitsprüfung / Penetrationstest vor Produktivbetrieb" deckt genau das ab, projektweit über alle sieben Boards, als externe Ergänzung zu den internen Sicherheits-Prüfgates. `QA-06` ist selbst das letzte, allem nachgelagerte Gate (hängt von `QA-05`, `QA-07`, `QA-08` ab) — der Pentest läuft also erst, wenn alles andere bereits abgenommen ist.
+
+6. ~~Incident-Response-Plan~~ — **geklärt (2026-08-28)**: Core `OPS-04` deckt genau das ab (Erkennung, Eskalation, DSGVO-72h-Meldefrist, Verweis auf Core `AUD-01`/`AUD-05` als Vorfall-Datenquelle) und ist im `code`-Repository bereits als tatsächliches Betriebsdokument umgesetzt (`docs/INCIDENT-RESPONSE-PLAN.md`). Offen bleibt nur die Schlüssel-Notfallrotation im Vorfallsfall — die behandelt `OPS-04` nicht explizit, sollte als Ergänzung im Dokument nachgezogen werden.
+
+7. ~~Superadmin-ohne-Tenant als First-Class-Zustand~~ — **geklärt (2026-08-28)**: Core `IAM-01` Akzeptanzkriterium 2 lautet explizit "Superadmin-ohne-Tenant ist als First-Class-Zustand modelliert" — war bei der ersten Lektüre offenbar übersehen worden, ist aber bereits vorhanden.
+
+8. ~~Verbindliche CI-Testpflicht für sicherheitsrelevanten Code als projektweite Regel~~ — **geklärt (2026-08-28)**: Akzeptanzkriterium "Pflichttests für sicherheitsrelevanten Code (Tenant-Scoping, Zugriffsprüfung, Auth-nahe Logik) als verbindliches Merge-Gate" in allen 6 übrigen `QA-01`-Tickets (DMS, Mail, Archive, Workflow, AI, Connect) nachgezogen, analog zu Core `QA-01`. Jetzt projektweit einheitlich.
+
+9. ~~Timing-safe Vergleich als projektweite Coding-Konvention~~ — **geklärt (2026-08-28)**: neues Ticket Core `IAM-15` verankert die Regel projektweit (Passwort-Hash, Token, Signatur, 2FA-Wiederherstellungscode), nicht mehr nur implizit über das archivdms-Beispiel. Hängt im Core-Abschluss-Gate `QA-05`.
+
+10. ~~Gemeinsamer Query-Builder für Injection-Schutz~~ — **geklärt (2026-08-28)**: Entscheidung getroffen — getrennte Implementierung je Board, keine gemeinsame Utility, konsistent mit der bereits getroffenen Entscheidung, Suche/OCR nicht zu zentralisieren (siehe `nexarch-state.json` → `bewusst_nicht_zentralisiert`). Neue Tickets DMS `SRC-11` und Mail `SRC-11` verankern dieselbe Whitelist-Regel unabhängig in beiden Boards, hängen in DMS `QA-06` bzw. Mail `QA-04`.
+
+11. **bcrypt-Kostenfaktor nicht dokumentiert.** Die Wahl bcrypt statt Argon2 ist als Faktum in `nexarch-state.json` festgehalten, aber ohne Begründung und ohne festgelegten Kostenfaktor.
+
+12. ~~Anomalie-Erkennung bei API-Token-Nutzung (Core `IAM-09`)~~ — **geklärt (2026-09-14)**: neues Ticket Core `IAM-20` "Anomalie-Erkennung bei API-Token-/Service-Account-Nutzung" ergänzt IP-/Rate-Anomalie-Erkennung als Hinweissignal (Audit-Event, keine automatische Sperre) zur reinen Scope-/Ablaufzeit-Prüfung aus `IAM-09`. Siehe Threat-Model-Finding #2 in Abschnitt 13.
+
+## 13. Threat Model: NEXARCH Core (STRIDE)
+
+Erstellt mit dem `security-threat-model`-Skill am 2026-09-12. Scope: Core-Kanban (Identity, Tenancy, Auth, RBAC, Lizenzierung/Feature-Flags, Audit, zentrale Konfiguration/Benachrichtigung, Core-API/Modulverwaltung, Monitoring), analysiert anhand der Ticket-Inhalte (TEN/IAM/RBAC/AUD/LIC/CFG/API/OPS), nicht anhand des tatsächlichen Codes. Alle Findings mit Schweregrad Kritisch/Hoch/Mittel sind inzwischen als Tickets in Welle 9 und 10 des Core-Boards umgesetzt (siehe `core-kanban/README.md`); Finding #2 (Niedrig-Mittel) ist offen, siehe Punkt 11 oben.
+
+### Systemüberblick
+
+```
+Client/Browser --HTTPS--> Modul-Frontend (Next.js) --> Core-API (Go/net/http)
+                                                          |
+                                          JWT-Middleware (IAM-02) --tenant claim--
+                                                          |
+                                    Connection-Router (TEN-06) --lookup--> Registry-DB
+                                                          |
+                                          Tenant-DB (Modell C, 1 pro Mandant)
+                                                          |
+                        Modul-zu-Modul (DMS/Mail/Archive/Workflow/AI/Connect) via Service-Credential (API-02) [+ optional mTLS API-09]
+                                                          |
+                                    Master-KEK (API-10) --wraps--> Tenant-KEK --wraps--> Objekt-DEK (in DMS/Mail)
+```
+
+Trust-Boundaries: (1) Internet/Client → Modul-Frontend, (2) Frontend/externe Aufrufer → Core-API, (3) Core-API → Registry-DB, (4) Core-API → Tenant-DB, (5) Core ↔ andere Module (Service-Credentials), (6) Core → LDAP/OIDC-Provider (extern), (7) Master-KEK-Speicherort (KMS/Secret-Provider) → Registry.
+
+### Findings
+
+| # | STRIDE | Komponente | Bedrohung | Schweregrad | Ticket |
+|---|--------|------------|-----------|--------------|--------|
+| 1 | Spoofing | IAM-02 Login/JWT | Kein Widerrufsmechanismus — gestohlenes JWT bleibt bis Ablauf gültig, kein Logout-Invalidierung serverseitig | Hoch | `IAM-17` |
+| 2 | Spoofing | IAM-09 API-Token/Service-Accounts | Token-Diebstahl bei Leak — keine Anomalie-Erkennung bei Nutzung aus fremdem Kontext | Mittel | `IAM-20` |
+| 3 | Tampering | TEN-07 Migrations-Orchestrierung | Migrationsdatei ohne Integritätsprüfung würde 1:N gegen alle Tenant-DBs laufen | Mittel | `TEN-10` |
+| 4 | Tampering | API-10 Master-Key-Verwaltung | Master-KEK-Kompromittierung hebelt zweistufige Hierarchie komplett aus — kein Rotationszwang/Alarming | Kritisch | `API-13` |
+| 5 | Repudiation | AUD-01 Audit-Log | „Append-only" nur konventionell, nicht technisch durchgesetzt (DB-Admin-Zugriff könnte ändern/löschen) | Mittel | `AUD-07` |
+| 6 | Information Disclosure | API-08 Security-Header-Baseline | Gut abgedeckt (CSP/HSTS/X-Frame etc. zentral) | Niedrig | abgedeckt |
+| 7 | Information Disclosure | TEN-01 Control-Plane-Registry | Höchstwertiges Einzelziel (Verbindungsinfo zu allen Tenant-DBs + Superadmin-Konten) — kein eigenes Härtungs-Ticket | Kritisch | `TEN-09` |
+| 8 | Information Disclosure | IAM-05 LDAP/AD-Anbindung | LDAP-Bind-Credentials je Tenant — Speicherform (Klartext vs. verschlüsselt) nicht spezifiziert | Mittel | `IAM-19` |
+| 9 | Denial of Service | TEN-06 Connection-Pooling | Ungedeckeltes LRU-Pooling ohne Rate-Limit auf Tenant-Wechsel — Pool-Thrashing-Risiko | Mittel | `TEN-11` |
+| 10 | Denial of Service | LIC-02 Feature-Flag-Service | Kein definiertes Fail-Open/Fail-Closed-Verhalten bei Registry-Ausfall oder Cache-Invalidierungssturm | Mittel | `LIC-06` |
+| 11 | Elevation of Privilege | RBAC-01 Rollenmodell | Keine Prüfung gegen zirkuläre/fehlerhafte Rollenvererbung Tenant-Admin → Superadmin | Hoch | `RBAC-08` |
+| 12 | Elevation of Privilege | API-09 mTLS Modul-zu-Modul | Für Stufe-1 optional — Aktivierung beim Wechsel auf Stufe 2 könnte vergessen werden | Mittel | `OPS-07` |
+| 13 | Elevation of Privilege | IAM-06 SSO/OIDC | Claim-Validierung (Issuer/Audience/Signatur) nicht spezifiziert — Risiko automatischer Superadmin-Ableitung aus externem Claim | Hoch | `IAM-18` |
+
+### Bereits abgedeckt (ohne Nachbesserung nötig)
+
+- **Tenant-Isolation strukturell** (Modell C, physisch getrennte DB) — macht klassisches "vergessener tenant_id-Filter"-Leck strukturell unmöglich (siehe `nexarch-state.json`). Kein Finding dafür.
+- **Security-Header-Baseline** (`API-08`) zentral statt pro Modul.
+- **Envelope-Encryption-Konzept** (`API-10`) zweistufig — richtiger Ansatz, Finding #4 betraf nur Betrieb/Rotation, nicht das Modell selbst.
+- **Audit-Log als eigenständiges Modell** (`AUD-01`), DSGVO-Meldeprozess vorhanden (`OPS-04`, 72h-Frist).
+- **bcrypt statt schwächerem Hashing**, Trennung Auth/Autorisierung (Casbin-Prinzip).
+
+## 14. Threat Model: NEXARCH DMS (STRIDE)
+
+Erstellt mit dem `security-threat-model`-Skill am 2026-09-12. Scope: DMS-Kanban (Dokumentenkern/Upload/Storage/Verschlüsselung, Suche & OCR, Metadaten, Versionierung, Integration/API, Hot-Folder/Scanner, UX), analysiert anhand der Ticket-Inhalte, nicht anhand des tatsächlichen Codes. Identity/Auth/RBAC/Tenancy sind nach Core ausgelagert und dort bereits in Abschnitt 13 analysiert — hier nicht erneut. Alle Findings sind als Tickets in Welle 12 (Hoch/Mittel) bzw. Welle 13 (Finding #9, `DOC-18`, ergänzt 2026-09-14) des DMS-Boards umgesetzt (siehe `dms-kanban/README.md`).
+
+### Systemüberblick
+
+```
+Client --> DMS-Frontend --> DMS-API (auf Core-API-Grundgerüst, INT-01)
+                               |
+              Upload (DOC-01) --checksum DOC-02--> Storage-Adapter (FDN-03, S3/lokal)
+                               |                         |
+                     Envelope-Encryption (FDN-09, DEK<-Tenant-KEK aus Core API-10)
+                               |
+              Async-Worker (FDN-04: OCR/Konvertierung/Index) --> Manticore-Index (SRC-01)
+                               |
+        Externe Eingänge: Hot-Folder (INT-08), Netzwerkscanner (INT-06), CMIS (INT-09)
+                               |
+        Externe Ausgänge: Archive (INT-11 Retention), AI (INT-12), Workflow (INT-13)
+```
+
+Trust-Boundaries: (1) Client→API, (2) API→Storage, (3) API→Async-Worker-Queue, (4) Dateisystem-Hot-Folder (lokal, kein API-Auth)→DMS, (5) DMS↔Archive/AI/Workflow (Modul-Registrierung), (6) CMIS-Schnittstelle→Drittwerkzeuge.
+
+### Findings
+
+| # | STRIDE | Komponente | Bedrohung | Schweregrad | Ticket |
+|---|--------|------------|-----------|--------------|--------|
+| 1 | Tampering | DOC-01 Upload | Kein Malware-Scan vor Ablage (nur MIME/Größe geprüft) | Mittel | `DOC-17` |
+| 2 | Tampering | INT-08 Hot-Folder | Dateisystem-Import ohne Auth-Kontext, keine explizite Tenant-Zuordnung des Verzeichnisses | Hoch | `INT-14` |
+| 3 | Tampering | INT-06 Netzwerkscanner-Ordner | Gleiches Muster wie INT-08 | Hoch | `INT-14` |
+| 4 | Information Disclosure | FDN-03 Storage-Adapter | Signierte URLs ohne festgelegten Scope/kurze TTL | Mittel | `FDN-10` |
+| 5 | Information Disclosure | DOC-05 Inline-Betrachter | "Ohne Download-Zwang" ist UI-Ziel, keine technische Zugriffskontrolle — Hinweis, kein eigenständiges Risiko | Niedrig | Hinweis |
+| 6 | Information Disclosure | INT-09 CMIS-Schnittstelle | Keine festgelegte Auth-/Tenant-Scoping-Parität zur REST-API | Hoch | `INT-15` |
+| 7 | Repudiation | VER-05 Unveränderliches Protokoll | "Unveränderlich" nur konventionell, nicht technisch durchgesetzt (Analogie Core-Finding #5) | Mittel | `VER-08` |
+| 8 | Denial of Service | FDN-04 Async-Worker | Keine Ressourcenlimits je Job (Zeit/Speicher/Seitenzahl) | Mittel | `FDN-11` |
+| 9 | Denial of Service | DOC-08 Archiv-Bündelung | Kein Limit für Gesamtgröße/Anzahl je Bündelungs-Anfrage | Niedrig | `DOC-18` |
+| 10 | Elevation of Privilege | INT-11/12/13 Modul-Registrierung | Rückkanäle (z. B. Workflow VOR-04) könnten Service-Credential-Kontext statt Nutzer-Tenant-Kontext verwenden | Hoch | `INT-16` |
+| 11 | Elevation of Privilege | DOC-02 Duplikat-Prüfung | Falls Hash-Abgleich global statt tenant-scoped implementiert wird: Seitenkanal-Leck über Duplikat-Treffer | Niedrig | Hinweis, Implementierungsdetail bei Umsetzung von DOC-02 explizit tenant-scoped halten |
+
+### Bereits abgedeckt
+
+- **Envelope-Encryption pro Objekt** (`FDN-09`) korrekt an Core-Schlüsselhierarchie (`API-10`) gekoppelt, keine eigene Master-Key-Logik im DMS.
+- **Tenant-Isolation strukturell** über Core Modell C — gilt auch hier.
+- **Duplikat-Erkennung/Checksum** (`DOC-02`) als bewusste Nutzerentscheidung statt automatischem Verwerfen.
+- **known-issues-archivdms.md** bereits als Vermeidungs-Checkliste im Board berücksichtigt (Rechte-Bug Ersteller-Sichtbarkeit, Superadmin-Sonderfall, Sprintf-in-SQL) — deshalb hier nicht erneut als Findings gelistet.
+
+## 15. Threat Model: NEXARCH Mail (STRIDE)
+
+Erstellt mit dem `security-threat-model`-Skill am 2026-09-12. Scope: Mail-Kanban (Ingestion & Protokoll-Server IMAP/POP3/SMTP, Postfach-Import, Archivierung, Suche & OCR, Integration/API), analysiert anhand der Ticket-Inhalte, nicht anhand des tatsächlichen Codes. Identity/Auth/RBAC/Tenancy sind nach Core ausgelagert (Abschnitt 13). Code-Wiederverwendung aus archivmail ist hier – anders als bei DMS – ausdrücklich erlaubt, daher liegt ein Schwerpunkt auf bekannten Altsystem-Bugs aus `known-issues-archivmail.md`. Alle Findings sind als Tickets in Welle 8 des Mail-Boards umgesetzt (siehe `mail-kanban/README.md`).
+
+### Systemüberblick
+
+```
+Externe Mailserver --IMAP/POP3/SMTP--> Ingestion-Server (ING-01..03, TLS/STARTTLS ING-06)
+                                              |
+                          Import-Scheduler (IMP-01) --Anhänge--> Virenscan (IMP-06)
+                                              |
+                          Archivierung (ARC-01, Objekt-Storage je Tenant-Bucket ARC-06)
+                                              |
+                    Envelope-Encryption (ARC-02, DEK<-Tenant-KEK aus Core API-10)
+                                              |
+                    Indexierung/OCR (SRC-02/SRC-07) --> Manticore-Index
+                                              |
+        Ausgehend: Mailer (ING-03) für Benachrichtigungen --> Core-Dispatcher (CFG-02)
+                                              |
+        Externe Ausgänge: Archive (INT-08 Retention), AI (INT-09), Workflow (INT-10)
+```
+
+Trust-Boundaries: (1) Externer Mailserver→Ingestion-Server, (2) Ingestion→Import-Pipeline, (3) Import→Objekt-Storage, (4) Mail-API→Client, (5) Mail↔Archive/AI/Workflow (Modul-Registrierung), (6) Mailer→externe Empfänger (ausgehend).
+
+### Findings
+
+| # | STRIDE | Komponente | Bedrohung | Schweregrad | Ticket |
+|---|--------|------------|-----------|--------------|--------|
+| 1 | Tampering | ING-03 Mailer (ausgehend) | Header-Injection bei Stringkonkatenation von From/To/Subject — konkreter, bereits im archivmail-Altsystem aufgetretener Bug (known-issues Punkt 1) | Hoch | `ING-11` |
+| 2 | Elevation of Privilege | INT-08/09/10 Modul-Registrierung | Rückkanäle könnten Service-Credential-Kontext statt Nutzer-Tenant-Kontext verwenden (analog DMS-Finding) | Hoch | `INT-11` |
+| 3 | Information Disclosure | INT-01/ARC-01 Anhang-Download | Signierte URLs ohne festgelegten Scope/kurze TTL (analog DMS-Finding) | Mittel | `INT-12` |
+| 4 | Denial of Service | SRC-02/SRC-07 Indexierung/OCR | Keine Ressourcenlimits je Job (Zeit/Speicher/Seitenzahl), analog DMS-Finding | Mittel | `SRC-12` |
+| 5 | Denial of Service | ING-09 Rate-Limiting | Bereits abgedeckt — SMTP-Annahme und Login-Versuche rate-limitiert | Niedrig | abgedeckt |
+| 6 | Tampering | IMP-02/IMP-06 Anhang-Verarbeitung | Bereits abgedeckt — Virenscan mit Quarantäne vorgesehen (IMP-06), Größenlimit als Lehre aus archivmail (known-issues Punkt 3) im Board verankert | Niedrig | abgedeckt |
+| 7 | Information Disclosure | ARC-06 Objekt-Storage | Bereits abgedeckt — physische Mandantentrennung je Bucket/Pfad-Root statt Präfix-Konvention | Niedrig | abgedeckt |
+
+### Bereits abgedeckt
+
+- **Virenscan mit Quarantäne** (`IMP-06`) bereits im Board vorgesehen, nicht erst nachträglich als Finding nötig (anders als beim DMS-Board, wo dies fehlte).
+- **Physische Mandantentrennung im Objekt-Storage** (`ARC-06`) korrigiert das archivmail-Muster einer gemeinsamen Ablage mit Pfad-Präfix.
+- **Rate-Limiting auf Protokollebene** (`ING-09`) für SMTP-Annahme/Login bereits vorgesehen.
+- **TLS/STARTTLS verpflichtend** (`ING-06`) für alle drei Protokollserver.
+- **Signatur-Prüfung bei Archivierung mit Zeitstempel** (`ARC-10`) für S/MIME/PGP-signierte Mails nach BSI TR-03125.
+
+## 16. Threat Model: NEXARCH Archive (STRIDE)
+
+Erstellt mit dem `security-threat-model`-Skill am 2026-09-12. Scope: Archive-Kanban (Retention & WORM, Compliance & eDiscovery, Backup & Wiederherstellung, Kennzahlen) — die zentrale, alleinige Quelle für Aufbewahrung/WORM/Compliance/Backup für DMS und Mail. Identity/Auth/RBAC/Tenancy nach Core ausgelagert (Abschnitt 13). Alle Findings sind als Tickets in Welle 7 des Archive-Boards umgesetzt (siehe `archive-kanban/README.md`).
+
+### Systemüberblick
+
+```
+DMS/Mail --Registrierung (RET-05)--> Archive Retention-Engine (RET-01..03)
+                                              |
+                          WORM-Speicherpfad (RET-04) --> Objekt-Storage
+                                              |
+                     Löschworkflow mit Vier-Augen-Prinzip (CMP-06) / DSGVO-Löschantrag (CMP-07)
+                                              |
+                          Compliance/eDiscovery-Export (CMP-01..03) --> Audit (Core AUD-01, CMP-04)
+                                              |
+                     Backup: DB (BAK-01), Objekt-Storage (BAK-02) --> Restore-Test (BAK-06)
+```
+
+Trust-Boundaries: (1) DMS/Mail→Archive (Registrierung, Service-Credentials), (2) Archive→Objekt-Storage (WORM), (3) Archive→Core-Audit-Log, (4) Backup-Ziel (extern/separates Speichersystem), (5) Restore-Testumgebung.
+
+### Findings
+
+| # | STRIDE | Komponente | Bedrohung | Schweregrad | Ticket |
+|---|--------|------------|-----------|--------------|--------|
+| 1 | Tampering | RET-04 WORM-Speicherpfad | "Kein Überschreiben" ggf. nur anwendungsseitig, nicht als Storage-Garantie (Object Lock) durchgesetzt | Hoch | `RET-11` |
+| 2 | Spoofing | RET-05 Registrierungsschnittstelle | Tenant-Kontext bei Registrierung durch DMS/Mail wird ggf. ungeprüft übernommen | Hoch | `RET-12` |
+| 3 | Information Disclosure | BAK-01/BAK-02 Backup | Kein festgelegter Verschlüsselungsschutz für Backup-Snapshots — schwächeres Abbild derselben Daten als das Live-System | Mittel | `BAK-09` |
+| 4 | Information Disclosure | BAK-06 Restore-Testumgebung | Enthält echte wiederhergestellte Mandantendaten, Schutzniveau nicht festgelegt | Mittel | `BAK-10` |
+| 5 | Repudiation | RET-03/CMP-06 Löschworkflow | Bereits abgedeckt — Vier-Augen-Prinzip und Protokolleintrag vorgesehen, Legal Hold hat Vorrang | Niedrig | abgedeckt |
+| 6 | Tampering | CMP-03 eDiscovery-Export | Bereits abgedeckt — prüfsummengesicherter Export vorgesehen | Niedrig | abgedeckt |
+
+### Bereits abgedeckt
+
+- **Vier-Augen-Prinzip bei Löschung** (`CMP-06`) — positives Muster aus archivdms übernommen.
+- **Legal Hold hat Vorrang vor Fristablauf** (`RET-03`) — verhindert versehentliche Löschung bei laufendem Rechtsverfahren.
+- **DSGVO-Löschantrag mit Aufbewahrungs-Vorrangprüfung** (`CMP-07`) korrekt gegen `RET-03` abgegrenzt, keine zweite Lösch-Implementierung.
+- **Prüfsummengesicherter eDiscovery-Export** (`CMP-03`).
+- **Eigene, von Dokument-Retention unabhängige Backup-Prune-Policy** (`BAK-07`) — Backups laufen nicht unbegrenzt oder zu früh ab.
+
+## 17. Threat Model: NEXARCH Workflow (STRIDE)
+
+Erstellt mit dem `security-threat-model`-Skill am 2026-09-12. Scope: Workflow-Kanban (Workflow-Engine, Genehmigungen & Freigaben, Aufgaben/Fristen & Eskalation, regelbasiertes Routing, Akte & Vorgang) — alleinige Quelle für Genehmigungsprozesse, Aufgaben/Fristen und Routing für DMS und Mail. Identity/Auth/RBAC/Tenancy nach Core ausgelagert (Abschnitt 13). Alle Findings sind als Tickets in Welle 8 des Workflow-Boards umgesetzt (siehe `workflow-kanban/README.md`).
+
+### Systemüberblick
+
+```
+DMS/Mail --Push-Registrierung (ENG-02)--> Workflow-Engine (ENG-01, Zustandsautomat)
+                                              |
+                     Genehmigungen (APR-01..04) / Aufgaben & Fristen (TSK-01..05)
+                                              |
+                     Instanzschritt-Protokoll (ENG-04, unveränderlich)
+                                              |
+                     Akte & Vorgang (VOR-01..03) <--Pull-Rückkanal (VOR-04)-- DMS/Mail
+                                              |
+                     Regelbasiertes Routing (RTE-01..04) --optional-- KI-Vorschlag (AI WFS-02, RTE-05)
+```
+
+Trust-Boundaries: (1) DMS/Mail→Workflow (Push-Registrierung, Service-Credentials), (2) DMS/Mail←Workflow (Pull-Rückkanal VOR-04), (3) Workflow→Core-Benachrichtigungs-Dispatcher, (4) Workflow→AI (optionaler KI-Vorschlag).
+
+### Findings
+
+| # | STRIDE | Komponente | Bedrohung | Schweregrad | Ticket |
+|---|--------|------------|-----------|--------------|--------|
+| 1 | Information Disclosure / Elevation of Privilege | VOR-04 Rückkanal-API | Kein festgelegter Tenant-Kontext-Abgleich bei Pull-Anfrage von DMS/Mail — Bypass der Mandantentrennung über den Rückkanal möglich | Hoch | `VOR-06` |
+| 2 | Spoofing | ENG-02 Registrierungsschnittstelle | Tenant-Kontext bei Push-Registrierung durch DMS/Mail wird ggf. ungeprüft übernommen (analog Archive-Finding) | Mittel | `ENG-06` |
+| 3 | Repudiation | ENG-04 Instanzschritt-Protokoll | "Unveränderlich" nur konventionell, nicht technisch durchgesetzt (Analogie Core-Finding #5/DMS `VER-08`) | Mittel | `ENG-07` |
+| 4 | Elevation of Privilege | APR-02 Vier-Augen-Freigabe | Bereits abgedeckt — generisches, modulunabhängiges Vier-Augen-Muster vorgesehen | Niedrig | abgedeckt |
+| 5 | Elevation of Privilege | RTE-05 KI-Vorschlag im Routing | Bereits abgedeckt — KI liefert nur Vorschlag, regelbasierte Engine bleibt maßgebliche Entscheidungsinstanz | Niedrig | abgedeckt |
+
+### Bereits abgedeckt
+
+- **Vier-Augen-Prinzip für Freigaben** (`APR-02`) generisch und modulunabhängig konfigurierbar.
+- **KI bleibt Vorschlag, nie Entscheidung** (`RTE-05`) — verhindert stille Rechte-/Entscheidungsverlagerung an ein optionales KI-Modul.
+- **Vermerke unveränderlich nach Speichern** (`VOR-02`, Ergänzung statt Bearbeitung) — passendes Muster für Nachvollziehbarkeit, unabhängig vom technischen Append-only-Finding zu `ENG-04`.
+
+## 18. Threat Model: NEXARCH AI (STRIDE)
+
+Erstellt mit dem `security-threat-model`-Skill am 2026-09-12. Scope: AI-Kanban (KI-Engine & Modell-Anbindung, Klassifizierung, Extraktion, Zusammenfassung, semantische Suche & Chat, Workflow-Vorschläge, Datenschutz & Governance) — alleinige Quelle für KI-Funktionen für DMS und Mail, optional aktivierbar über Core `LIC-02`. Identity/Auth/RBAC/Tenancy nach Core ausgelagert (Abschnitt 13). Alle Findings sind als Tickets in Welle 10 des AI-Boards umgesetzt (siehe `ai-kanban/README.md`).
+
+### Systemüberblick
+
+```
+DMS/Mail --Registrierung (GOV-01)--> AI-Governance
+                                              |
+                     KI-Engine (ENG-01..06) --> Ollama (Standard) / externer Cloud-Adapter (ENG-03, optional)
+                                              |
+              Inferenz-Warteschlange (ENG-05) --> Klassifizierung/Extraktion/Zusammenfassung/SEM-Chat
+                                              |
+                     Prompt-Injection-Härtung (GOV-06) / Audit-Protokollierung (GOV-05 -> Core AUD-01)
+                                              |
+                     Workflow-Vorschläge (WFS-01..03) --> Workflow-Board (nur Vorschlag, keine Entscheidung)
+```
+
+Trust-Boundaries: (1) DMS/Mail→AI (Registrierung, Service-Credentials), (2) AI→Ollama/externer Provider (ENG-03, ggf. Datenabfluss außerhalb der eigenen Infrastruktur), (3) Dokument-/Mailinhalt→Prompt (Prompt-Injection-Fläche), (4) AI→Core-Audit-Log, (5) AI→Workflow (Vorschlags-Rückkanal).
+
+### Findings
+
+| # | STRIDE | Komponente | Bedrohung | Schweregrad | Ticket |
+|---|--------|------------|-----------|--------------|--------|
+| 1 | Spoofing | GOV-01 Registrierungsschnittstelle | Tenant-Kontext bei Registrierung durch DMS/Mail wird ggf. ungeprüft übernommen (analog Archive-/Workflow-Finding) | Mittel | `GOV-07` |
+| 2 | Denial of Service | ENG-05 Inferenz-Warteschlange | Keine Ressourcenlimits je Anfrage (Kontextlänge/Verarbeitungszeit) | Mittel | `ENG-07` |
+| 3 | Tampering | GOV-06 Prompt-Injection-Härtung | Bereits abgedeckt — strikte Trennung Systemanweisung/Nutzerinhalt, Schema-Validierung, Instruktions-Muster-Erkennung explizit vorgesehen | Niedrig | abgedeckt |
+| 4 | Repudiation | GOV-05 KI-Entscheidungsprotokoll | Bereits abgedeckt — Protokollierung über Core-Audit-Schnittstelle statt eigenem Log | Niedrig | abgedeckt |
+| 5 | Elevation of Privilege | WFS-02/03 Workflow-Vorschläge | Bereits abgedeckt — KI liefert nur Vorschlag, regelbasierte Workflow-Engine bleibt maßgebliche Entscheidungsinstanz (siehe Abschnitt 17) | Niedrig | abgedeckt |
+| 6 | Information Disclosure | ENG-03 externer Cloud-Adapter | Optionaler Datenabfluss an externen Anbieter — durch `GOV-03` (Steuerung lokal/extern je Tenant, Trainingsausschluss) technisch adressiert; DSGVO-Auftragsverarbeitungsvertrag mit externem Anbieter ist Vertragsthema, siehe `SAAS-BETRIEBSMODELL.md` Abschnitt 5a | Niedrig | organisatorisch geklärt (2026-09-14), kein Ticket |
+
+### Bereits abgedeckt
+
+- **Prompt-Injection-Härtung** (`GOV-06`) — ungewöhnlich vollständig für ein Planungsdokument: Trennung Systemanweisung/Inhalt, Schema-Validierung, Muster-Erkennung.
+- **KI-Entscheidungen vollständig auditierbar** (`GOV-05`) über die zentrale Core-Audit-Schnittstelle statt eigenem Log.
+- **Feingranulare Tenant-Steuerung** (`GOV-02`/`GOV-03`) für einzelne KI-Funktionen und lokal-vs-extern, mit explizitem Trainingsausschluss auf Kundendaten.
+- **Verbrauchsobergrenzen je Tenant** (`GOV-04`) gekoppelt an Core-Lizenzsteuerung — verhindert bereits einen Teil der Ressourcenerschöpfungs-Angriffsfläche auf Tenant-Ebene (ergänzt durch `ENG-07` auf Einzelanfrage-Ebene).
+- **Grounding mit Belegpflicht** (`SEM-04`/`SEM-05`) — keine Chat-Antwort ohne nachvollziehbare Quellenangabe.
+
+## 19. Threat Model: NEXARCH Connect (STRIDE)
+
+Erstellt mit dem `security-threat-model`-Skill am 2026-09-12. Scope: Connect-Kanban (Connector-Engine & Grundgerüst, ERP/CRM-, DATEV-, Microsoft-365-Anbindung, Andere-DMS-Interoperabilität) — baut vollständig auf Core auf, keine eigene API-Infrastruktur. Identity/Auth/RBAC/Tenancy nach Core ausgelagert (Abschnitt 13). Alle Findings sind als Tickets in Welle 7 des Connect-Boards umgesetzt (siehe `connect-kanban/README.md`). Letztes der sieben Boards, das mit diesem Skill durchlaufen wurde — Abschnitte 13–19 decken jetzt alle NEXARCH-Boards ab.
+
+### Systemüberblick
+
+```
+Connector-Engine (ENG-01) --Plugin-Registrierung--> ERP/CRM (ERP-01..04), DATEV (DAT-01..03),
+                                                      M365 (M365-01..03), Andere-DMS (DMS2-01..03)
+                    |
+      Zugangsdaten-Verwaltung (ENG-02) --verschlüsselt--> je Connector-Instanz
+                    |
+      Sync-Jobs (ENG-03) --Fehlerbehandlung/Retry (ENG-05)--> Drittsystem
+                    |
+      Alle Connector-Aktionen --> Core-Audit-Log (ENG-06)
+```
+
+Trust-Boundaries: (1) NEXARCH↔Drittsystem (OAuth/API-Key, ausgehend), (2) Connector-Engine→Zugangsdaten-Speicher, (3) Sync-Job→Drittsystem (Netzwerk, außerhalb eigener Kontrolle), (4) Connect→Core-Audit-Log.
+
+### Findings
+
+| # | STRIDE | Komponente | Bedrohung | Schweregrad | Ticket |
+|---|--------|------------|-----------|--------------|--------|
+| 1 | Information Disclosure | ENG-02 Zugangsdaten-Verwaltung | Verschlüsselung ohne festgelegte Anbindung an die zentrale Tenant-KEK-Hierarchie — Risiko eines zweiten, separat zu härtenden Verschlüsselungspfads | Mittel | `ENG-07` |
+| 2 | Denial of Service | ENG-03/ENG-05 Sync-Jobs | Keine Obergrenzen für Laufzeit/Datenmenge je Sync-Lauf, Retry-Abbruchgrenze nicht technisch erzwungen | Mittel | `ENG-08` |
+| 3 | Repudiation | ENG-06 Audit-Kopplung | Bereits abgedeckt — alle Connector-Aktionen an Core-Audit-Log gekoppelt | Niedrig | abgedeckt |
+| 4 | Information Disclosure | DMS2-03 externe Backup-Ziele | Bereits abgedeckt — „verschlüsselter Export“ explizit vorgesehen | Niedrig | abgedeckt |
+
+### Bereits abgedeckt
+
+- **Alle Connector-Aktionen im Core-Audit-Log** (`ENG-06`) — Verbindung angelegt, Sync ausgeführt, Zugangsdaten geändert.
+- **Verschlüsselter Export zu externen Backup-Zielen** (`DMS2-03`).
+- **Keine eigene API-/Rate-Limiting-/Webhook-Infrastruktur** — vollständig auf Core aufgebaut, reduziert die Angriffsfläche gegenüber einer zweiten, parallelen Implementierung.
+- **LDAP/SSO bleibt Core-Sache** — Connect dupliziert keine Identitäts-Infrastruktur.

SKALIERUNGSKONZEPT.md

@@ -0,0 +1,154 @@
+# NEXARCH 2.0 – Skalierungskonzept
+
+Stand: 2026-08-26. Grundlage: `nexarch-state.json` (Techstack/Tenancy-Entscheidungen), `core-kanban/`, `archive-kanban/`, `dms-kanban/`, `mail-kanban/`.
+
+## 1. Was schon skalierungsfähig entschieden ist
+
+| Baustein | Entscheidung | Warum das skaliert |
+|---|---|---|
+| Backend-Sprache | Go | Goroutinen billig, geringer RAM/Instanz, mehrere Prozesse pro Server möglich |
+| Auth | JWT, zustandslos | Beliebig viele Backend-Instanzen ohne Sticky-Sessions möglich |
+| Storage | S3-kompatible Abstraktion (FDN-03) | Objektspeicher skaliert unabhängig vom Backend, austauschbar (lokal → MinIO/S3) |
+| Job-Queue | Postgres, `FOR UPDATE SKIP LOCKED` (FDN-04) | Bewusst für mehrere Worker-Prozesse ausgelegt, nicht nur In-Prozess |
+| Rate-Limiting | Shared State statt in-process (Core API-03) | Korrigiert einen bei archivdms gefundenen Mehrinstanz-Bug (known-issues #9) |
+
+Das deckt: **mehr Backend-Instanzen hinter einem Load Balancer** und **mehr Worker-Prozesse**. Es deckt NICHT: Datenbank-Skalierung, Caching, Kapazitätsgrenzen, Suchindex-Skalierung. Diese vier Lücken sind Gegenstand dieses Dokuments.
+
+## 2. Skalierungsachsen
+
+NEXARCH muss in vier unabhängigen Dimensionen wachsen können, die sich nicht gleich verhalten:
+
+1. **Anzahl Tenants** (Mandanten) — wächst mit Kundenzahl, meist viele kleine.
+2. **Datenvolumen pro Tenant** (Dokumente, E-Mails, Anhänge) — wächst mit Nutzungsdauer, stark ungleich verteilt (ein Großkunde kann mehr Daten haben als 100 kleine zusammen).
+3. **Gleichzeitige Nutzer/Requests** — Lastspitzen (z.B. Monatsabschluss, Rechnungslauf-Import).
+4. **Hintergrundlast** (OCR, Indexierung, E-Mail-Abruf) — läuft unabhängig von Nutzeraktivität, oft nachts/batchartig.
+
+Diese vier brauchen unterschiedliche Antworten — "mehr Server" allein löst nicht alle vier.
+
+## 3. Betriebsstufen (an Master-Prompt orientiert)
+
+### Stufe 1 – Einzel-LXC (kleine/mittlere Installation)
+```
+Proxmox LXC
+├── NEXARCH-Prozesse (Core/DMS/Mail/Archive/Workflow als ein oder mehrere Go-Binaries)
+├── Worker (In-Prozess-Goroutinen)
+├── PostgreSQL (lokal, eine Datenbank je Mandant plus schlanke Registry-DB — Modell C, siehe Abschnitt 4)
+├── Manticore (lokal)
+└── Objektspeicher (lokales Dateisystem oder ZFS)
+```
+Richtwert (grobe Schätzung, kein Lasttest): bis niedriger dreistelliger Tenant-Zahl bei üblicher KMU-Nutzung, solange kein Einzeltenant die Instanz dominiert. Grenze ist praktisch **immer die Postgres-Instanz und die OCR/Indexierungslast**, nicht der Go-Prozess selbst.
+
+### Stufe 2 – Verteilt (mittlere/große Installation)
+```
+├── NEXARCH-Application-Instanzen (mehrere, hinter Reverse Proxy/Load Balancer, zustandslos)
+├── NEXARCH-Worker-Instanzen (mehrere, ziehen aus derselben Postgres-Jobqueue)
+├── PostgreSQL (dediziert, Tenant-Datenbanken über mehrere Server verteilbar — siehe Abschnitt 4)
+├── Manticore (dediziert, ggf. Cluster-Modus — siehe Abschnitt 5)
+└── Objektspeicher (S3/MinIO/Ceph, nicht mehr lokales Dateisystem)
+```
+Übergang Stufe 1 → 2 ist ein **reiner Infrastruktur-Schritt**, kein Code-Umbau — das ist der Grund, warum JWT-Auth, Postgres-Jobqueue und S3-Abstraktion von Anfang an so gewählt wurden (Abschnitt 1).
+
+**Betriebs-Checkliste für diesen Wechsel:** `code/docs/BETRIEBS-CHECKLISTE-STUFENWECHSEL.md` (Core `OPS-07`). Enthält u. a. die mTLS-Aktivierung zwischen Modul-Instanzen (Core `API-09`) als Pflichtschritt — für Stufe 1 ist mTLS bewusst optional, beim Wechsel auf verteilten Betrieb aber zwingend, sonst laufen Modul-zu-Modul-Aufrufe ohne Transport-Authentifizierung. Ein Readiness-Gate (`internal/mtls.GateCheck` + `internal/health` Warnungen) macht ein vergessenes mTLS bei mehr als einer Instanz/mehr als einem Host als Warnung im Monitoring sichtbar, statt es unbemerkt zu lassen.
+
+### Stufe 3 – Dedizierte Instanz pro Großkunde (Private Cloud, Betriebsmodell aus Master-Prompt)
+Ein Tenant mit außergewöhnlichem Datenvolumen oder Compliance-Anforderung bekommt eine eigene Stufe-1- oder Stufe-2-Installation statt eines Platzes auf der gemeinsamen Infrastruktur. Das ist die Antwort auf "was, wenn ein Mandant zu groß für die gemeinsame Instanz wird" (im Modell C liegt er bereits in einer eigenen Datenbank, hier zusätzlich auf eigener Hardware) — ein Ausweich-Betriebsmodell, das ohnehin schon geplant ist.
+
+## 4. Datenbank-Skalierung — jetzt strukturell durch Modell C gelöst
+
+**Geändert (siehe `nexarch-state.json` Entscheidungsverlauf):** Multi-Tenancy ist nicht mehr Modell A (eine Postgres-Instanz, `tenant_id`-Spalte), sondern **Modell C — eine Datenbank pro Mandant** (Core `TEN-01` Tenant-Registry & Datenbank-Provisioning). Grund: applikationsseitige Filterung verlässt sich darauf, dass jede Query korrekt gefiltert ist — ein einziger vergessener Filter (wie known-issues-archivmail.md #2/#7 real belegt) führt zum Cross-Tenant-Leck. Physische Trennung macht diese Fehlerklasse strukturell unmöglich, nicht nur unwahrscheinlicher. Nebeneffekt: eine Tenant-Datenbank lässt sich als Ganzes zwischen On-Premise und SaaS verschieben (Dump/Restore auf andere Infrastruktur), ohne Umbau an der Anwendung.
+
+Das ändert die Skalierungsfrage von "eine Instanz größer machen" zu "viele kleine Instanzen gut verwalten":
+
+**Verbindungs-Pooling ist ab Tag 1 Pflicht, nicht erst ab Stufe 2.**
+Mit vielen Tenant-Datenbanken stößt jede Anwendungsinstanz schnell an die maximale Postgres-Verbindungszahl, unabhängig von der eigentlichen Last. Core `TEN-06` (Connection-Routing & Pooling pro Mandant) übernimmt das — PgBouncer-artiges Pooling oder ein LRU-verwalteter Verbindungspool, der Tenant-Verbindungen wiederverwendet statt dauerhaft offen zu halten.
+
+**Migrationen laufen gegen N Datenbanken, nicht gegen eine.**
+Core `TEN-07` (Migrations-Orchestrierung über alle Tenant-Datenbanken) rollt jede Schemaänderung automatisiert über alle Tenant-Datenbanken aus, mit Fehlerisolation je Mandant — ein inkompatibler Datenbestand bei einem Kunden darf das Ausrollen für alle anderen nicht blockieren.
+
+**Vertikale Skalierung bleibt der Standardfall pro Postgres-Server**, der mehrere Tenant-Datenbanken hostet (Stufe 1: alle Tenant-DBs auf einer Instanz; Stufe 2/3: Tenant-Datenbanken auf mehrere Postgres-Server verteilt, siehe Abschnitt 3) — das ist kein Sharding-Zusatzaufwand mehr, sondern die natürliche Konsequenz von "jeder Mandant ist ohnehin schon eine eigene Datenbank".
+
+**Was dadurch entfällt:** Die früher diskutierte Frage "Lesereplikate vs. RLS vs. Schema-pro-Tenant" stellt sich in dieser Form nicht mehr — RLS wäre bei physischer Trennung redundant (siehe Core `TEN-01`), und "Schema-pro-Tenant" (Modell B) ist mit Modell C bereits übertroffen (noch stärkere Isolation als ein gemeinsames Schema). Lesereplikate bleiben als Option pro einzelner Tenant-Datenbank sinnvoll, falls ein einzelner Großkunde das braucht — dann als individuelle Betriebsentscheidung für diese eine Datenbank, nicht als globale Architekturmaßnahme.
+
+## 5. Suchindex-Skalierung
+
+Manticore läuft in Stufe 1 lokal neben der Anwendung. In Stufe 2:
+- Manticore auf eigene Instanz(en) ziehen, mehrere NEXARCH-Instanzen sprechen dasselbe Manticore an.
+- Bei sehr großem Volumen: Manticore unterstützt Cluster-/Replikations-Modus — als Option dokumentieren, nicht in v1 vorwegnehmen (YAGNI, bis ein Tenant das tatsächlich braucht).
+- Reindexierung (siehe MIGRATIONSKONZEPT.md Abschnitt 4) ist selbst ein Lastfall — sollte außerhalb von Nutzungsspitzen laufen, Job-Priorität in der Postgres-Jobqueue berücksichtigen.
+
+## 6. Caching
+
+Aktuell **kein Caching-Layer vorgesehen** — bewusste Lücke, nicht übersehen: Redis wurde für Queue/Rate-Limit explizit ausgeschlossen (Einfachheit, ein Betriebsteil weniger). Für Caching gilt dieselbe Grundhaltung, aber nicht dieselbe Antwort:
+
+- **Kein Cache für v1.** Postgres mit vernünftigen Indizes trägt die erwartete Last in Stufe 1/2.
+- **Wenn nötig:** In-Prozess-Cache (z.B. für Feature-Flags aus Core LIC-02, die sich selten ändern) statt eines externen Cache-Dienstes — passt zur "so wenig bewegliche Teile wie möglich"-Linie des Projekts.
+- **Erst bei nachgewiesenem Bedarf** einen externen Cache (Redis oder Postgres-UNLOGGED-Tabelle als Kompromiss) einführen, nicht vorab.
+
+## 7. Hintergrundlast (OCR, Indexierung, E-Mail-Abruf)
+
+Das ist die Last, die am wenigsten mit Nutzeraktivität korreliert und am leichtesten "einen Tenant die anderen ausbremsen lässt". Bereits im Datenmodell bedacht: die Postgres-Jobqueue aus archivdms (Vorbild für FDN-04) hat **Round-Robin-Fairness pro Mandant** eingebaut, genau um das zu verhindern — das ist eine reale Lehre aus dem Altsystem und sollte 1:1 in FDN-04 übernommen werden (ist es laut Ticket-Text bereits).
+
+Für Stufe 2/3 zusätzlich:
+- Worker-Anzahl je Job-Typ getrennt konfigurierbar (OCR-Worker ≠ Indexierungs-Worker ≠ Mail-Abruf-Worker), damit ein Engpass in einem Typ nicht die anderen blockiert.
+- Quotas (Core LIC-03 Nutzungszähler) auch als Drosselungsmechanismus nutzen: ein Tenant mit ungewöhnlich hohem Job-Aufkommen bekommt eine Obergrenze, keinen unbegrenzten Vorrang.
+
+## 8. Kapazitätsgrenzen — was bisher fehlt
+
+Es gibt aktuell **keine dokumentierten Richtwerte**, ab wann Stufe 1 verlassen werden muss. Vorschlag, sobald erste Testinstallation läuft, folgende Kennzahlen zu erheben und hier nachzutragen:
+- Dokumente/E-Mails gesamt, ab denen Postgres-Query-Latenz spürbar steigt (typischer Auslöser: fehlende/veraltete Indizes eher als reines Volumen).
+- Gleichzeitige aktive Tenants, ab denen die In-Prozess-Job-Fairness (Abschnitt 7) nicht mehr ausreicht.
+- OCR-Durchsatz (Seiten/Minute) je Worker, um Personal-/Kapazitätsplanung für Kunden mit hohem Scan-Aufkommen zu ermöglichen.
+
+Diese Zahlen sind aus der Architektur allein nicht seriös vorhersagbar — sie brauchen einen Lasttest (siehe DMS-Board `QA-10` Last- & Leistungstest, Mail-Board `QA-07`) und sollten aus dessen Ergebnis hierher zurückgeschrieben werden.
+
+## 9. Monitoring-Kopplung
+
+Skalierungsentscheidungen brauchen Messwerte, keine Vermutungen. Vorhandene Anknüpfungspunkte:
+- Core `OPS-01` Health-Checks je Modul, `OPS-03` Metrics-Aggregation über Module hinweg — sollte Postgres-Connection-Auslastung, Job-Queue-Länge je Tenant und Manticore-Latenz mit aufnehmen, nicht nur Modul-Health.
+- `grafana-expert`/`prometheus-expert`-Subagenten (siehe `.claude/agents/`) stehen für die konkrete Umsetzung bereit.
+
+## 10. Core selbst hochverfügbar machen (Primary/Replica-Failover)
+
+Abschnitt 11 beschreibt, wie die ANDEREN Module einen Core-Ausfall überstehen. Dieser Abschnitt beschreibt, wie Core selbst seltener ausfällt.
+
+Core-Anwendungsprozesse sind bereits zustandslos (Abschnitt 1) — das löst die Anwendungsschicht: mehrere Core-Instanzen hinter einem Load Balancer, jede darf jederzeit neu starten oder wegfallen, ohne dass Sessions verloren gehen. **Der eigentliche Single Point of Failure ist die Postgres-Instanz**, auf der Core (wie alle Module) aufsetzt.
+
+### Stufe 1 – Einzel-LXC: kein automatisches Failover
+Für kleine Installationen ist automatisches DB-Failover unverhältnismäßiger Aufwand. Antwort auf Ausfall ist Restore aus Backup (Archive-Board `BAK-03` Restore-Verfahren), keine Live-Umschaltung. Akzeptierter Trade-off, konsistent mit der "keine unnötige Komplexität"-Linie des Projekts.
+
+### Stufe 2/3 – Primary/Replica mit automatischem Failover
+Sobald Verfügbarkeit über reinem Backup/Restore hinaus gefordert ist:
+
+1. **Postgres-Streaming-Replikation**: ein Primary (Schreibziel), ein oder mehrere Replicas (physische Streaming-Replikation, nicht nur die logischen Read-Replicas aus Abschnitt 4 — hier geht es um Ausfallsicherheit, dort um Leselast-Verteilung; dieselbe Replica-Infrastruktur kann beides gleichzeitig bedienen).
+2. **Automatisches Failover braucht einen Konsens-Mechanismus**, nicht nur Replikation allein — sonst entscheidet im Zweifel niemand zuverlässig, wer nach einem Ausfall der neue Primary ist (Split-Brain-Risiko: zwei Knoten halten sich beide für Primary). Etablierter Ansatz: **Patroni** (nutzt etcd/Consul als verteilten Konsens-Store) oder das leichtgewichtigere **pg_auto_failover** (kommt ohne separaten Konsens-Store aus, dafür geringere Ausfalltoleranz bei komplexeren Szenarien). Für den Proxmox-LXC-Kontext des Projekts ist pg_auto_failover der pragmatischere Einstieg — Patroni erst, wenn Stufe 3 mit mehreren Standorten ansteht.
+3. **Verbindungsindirektion**: Core-Anwendungsinstanzen dürfen nicht die IP des Primary fest codieren — sonst bringt Failover nichts, weil alle Clients weiter den toten Knoten ansprechen. Lösung: PgBouncer/HAProxy mit Healthcheck auf den aktuellen Primary, oder eine virtuelle IP, die dem Failover-Mechanismus folgt. Das ist derselbe PgBouncer-Baustein wie in Abschnitt 4 Stufe C (Connection-Pooling) — ein Werkzeug, zwei Zwecke.
+4. **Fencing**: der alte Primary muss nach einem Failover zuverlässig daran gehindert werden, weiter Schreibzugriffe anzunehmen (sonst Split-Brain trotz Konsens-Mechanismus, z.B. bei Netzwerkpartitionierung). Patroni/pg_auto_failover übernehmen das, ist aber ein Punkt, der beim Aufsetzen bewusst getestet werden muss (simulierte Netzwerktrennung im Rahmen von DMS `QA-10`/Mail `QA-07`-artigen Lasttests), nicht nur beim Konfigurieren angenommen werden darf.
+
+### Was NICHT dupliziert werden muss
+Der JWKS-Mechanismus aus Abschnitt 11/`API-05` (öffentlicher Schlüssel wird von anderen Modulen gecacht) bleibt unabhängig von einem laufenden DB-Failover funktionsfähig — Signaturprüfung anderer Module braucht während eines kurzen Failover-Fensters keine Core-DB-Verbindung. Das war kein bewusst für HA gedachtes Feature, ergibt sich aber als Nebeneffekt der API-05-Entscheidung: **Core-DB-Failover und Core-Anwendungs-Resilienz für andere Module sind zwei getrennte Probleme, die sich gegenseitig entlasten**, statt sich zu addieren.
+
+### Storage- und Manticore-Redundanz
+Objektspeicher (S3-kompatibel) und Manticore-Suchindex haben ihre eigenen, produktüblichen Redundanzmechanismen (S3: providerseitig oder MinIO-Distributed-Mode; Manticore: Replikations-/Cluster-Modus, siehe Abschnitt 5) — kein Bezug zur Postgres-Failover-Frage, aber Teil desselben Gesamtbilds "was darf nicht Single Point of Failure sein", falls eine vollständige HA-Betrachtung für Stufe 3 gemacht wird.
+
+## 11. Resilienz bei Core-Ausfall
+
+Core ist Fundament (Auth, Rechte, Feature-Flags, Audit, Benachrichtigungen) — das darf nicht bedeuten, dass ein Core-Ausfall die ganze Plattform lahmlegt. Entscheidung: **lokale JWT-Verifikation + kurzlebiger Rechte-/Feature-Flag-Cache** statt synchroner Rückfrage bei Core pro Request (Core-Board-Ticket `API-05`).
+
+- **DMS/Mail/Archive/Workflow prüfen JWT-Signatur lokal** (Core-Public-Key verteilt über JWKS-ähnlichen Mechanismus), kein Request an Core pro Aufruf.
+- **Rechte/Feature-Flags werden mit kurzer TTL gecacht.** Fällt Core aus: laufender Betrieb funktioniert mit letztbekanntem Stand weiter, nur neue Logins und frische Rechteänderungen sind betroffen — kein Komplettausfall der anderen Module.
+- **Fail-open vs. fail-closed muss pro Aktionsklasse entschieden werden** (Teil von `API-05`): Lesevorgänge mit abgelaufenem Cache eher fail-open (letzter bekannter Stand gilt weiter), sicherheitskritische Aktionen (Rechteänderung, Löschung, Freigabe) eher fail-closed (lieber verweigern als mit veralteten Rechten ausführen).
+- Schlüsselrotation für den Core-Public-Key muss ohne Ausfallzeit der anderen Module möglich sein — sonst wird die Resilienzmaßnahme selbst zum Wartungsrisiko.
+
+Diese Entscheidung ist eine direkte Folge der bereits getroffenen JWT-Wahl (Abschnitt 1) — zustandslose Tokens waren dafür gedacht, wurden aber bis zu diesem Punkt nicht konsequent zu Ende gedacht (jedes Modul hätte genauso gut synchron gegen Core validieren können, was den Vorteil zunichtegemacht hätte).
+
+## 12. Zusammenfassung: was zu tun bleibt
+
+| Lücke | Vorschlag | Wo einzuordnen |
+|---|---|---|
+| Read-Replica-Trennung im Code | Query-Routing lesend/schreibend als eigenes Ticket | Core `API`- oder `OPS`-Epic (neu) |
+| Connection-Pooling (PgBouncer) | Betriebsempfehlung ab Stufe 2 | Core `FDN`/Deployment-Doku |
+| Kapazitätsrichtwerte | Aus Lasttest ableiten, hier nachtragen | nach DMS `QA-10` / Mail `QA-07` |
+| Manticore-Cluster-Modus | Nur bei nachgewiesenem Bedarf, nicht v1 | zukünftiges Ticket, kein Blocker |
+| Cache-Layer | Nur bei nachgewiesenem Bedarf, In-Prozess vor extern | zukünftiges Ticket, kein Blocker |
+
+Kein neuer Techstack-Entscheid nötig — das Konzept baut ausschließlich auf bereits getroffenen Entscheidungen (Go, Postgres, S3, Manticore, Modell C) auf und beschreibt deren Wachstumspfad, statt sie zu ändern.

STORAGE-KONZEPT.md

@@ -0,0 +1,165 @@
+# NEXARCH 2.0 – Storage-Konzept
+
+Stand: 2026-08-26, Abschnitt 9 aktualisiert + Abschnitt 10 neu (Arbeitsverzeichnisse) 2026-08-28. Grundlage: `dms-kanban/tickets/FDN-03.md`, `mail-kanban/tickets/ARC-01.md`, `archive-kanban/tickets/RET-*.md`, `archive-kanban/tickets/BAK-*.md`, `SKALIERUNGSKONZEPT.md`.
+
+## 1. Grundprinzip
+
+Strikte Trennung, bereits in FDN-03 (DMS) und ARC-01 (Mail) unabhängig, aber konsistent so entschieden:
+
+- **PostgreSQL**: ausschließlich Metadaten (wer, was, wann, Tenant, Beziehungen, Status, Fristen).
+- **Objekt-Storage**: ausschließlich Binärinhalte (Dokumente, E-Mails, Anhänge, Thumbnails, Backups).
+
+Kein Binärinhalt landet je in einer Datenbankspalte (kein `bytea` für Dateien) — das ist Bedingung für alles Weitere in diesem Dokument (Skalierung, Backup-Strategie, S3-Austauschbarkeit).
+
+## 2. Backend-Optionen je Betriebsstufe
+
+Deckt sich mit `SKALIERUNGSKONZEPT.md` Abschnitt 3:
+
+| Betriebsstufe | Backend | Treiber |
+|---|---|---|
+| Stufe 1 (Einzel-LXC) | lokales Dateisystem oder ZFS | lokaler Treiber (FDN-03/ARC-01 "ein Interface, zwei austauschbare Treiber") |
+| Stufe 2 (verteilt) | S3-kompatibel: MinIO (selbst betrieben) oder Ceph (RADOS Gateway) | S3-Treiber, identische API wie Stufe 3 |
+| Stufe 3 (Private Cloud / SaaS) | S3-kompatibel: MinIO/Ceph selbst betrieben oder Managed-Object-Storage beim Provider | S3-Treiber, kein Unterschied im Code |
+
+Der Übergang Stufe 1 → 2/3 ist ein reiner Infrastruktur-Schritt (Treiber-Konfiguration ändern, nicht Code), das war der explizite Zweck der Abstraktion. Datenübernahme beim Wechsel: einmaliger Kopiervorgang (z.B. `mc mirror` bei MinIO) mit anschließendem Prüfsummen-Abgleich (Abschnitt 6) — kein Big-Bang-Risiko wie bei der Systemmigration aus `MIGRATIONSKONZEPT.md`, da es dieselbe NEXARCH-Instanz ist, nur das Backend wechselt.
+
+**Bewusst nicht vorgesehen:** NFS als produktives Ziel für Stufe 2/3 — das S3-Protokoll ist die gemeinsame Klammer, NFS wäre ein dritter, inkompatibler Zugriffspfad. NFS bleibt als Option für den lokalen Stufe-1-Treiber denkbar (Mount-Punkt statt echtes lokales Dateisystem), ändert aber nichts am Treiber-Interface.
+
+## 3. Pfad-/Namenskonvention (modulübergreifend vereinheitlicht)
+
+FDN-03 und ARC-01 legen je ihre eigene Pfadkonvention fest (Akzeptanzkriterium in beiden Tickets), bisher ohne geteilten Rahmen. Damit Backup (Archive `BAK-02`), Export (Archive `DMS2-01` im Connect-Board, DMS `DOC-08`) und Betrieb nicht drei verschiedene Konventionen lernen müssen, gilt projektweit ein gemeinsames Schema — und, analog zur Datenbank (Modell C, eigene Datenbank pro Mandant), jetzt auch eine physische Trennung im Objekt-Storage: **jeder Mandant erhält einen eigenen Bucket bzw. Pfad-Root**, statt eines gemeinsamen Buckets mit `tenant_id`-Pfadpräfix.
+
+Begründung: physische Trennung schließt bei Objekt-Storage dieselbe Fehlerklasse aus wie bei der Datenbank — ein Codefehler ohne Tenant-Kontext kann kein fremdes Bucket erreichen, nicht nur einen falschen Pfad innerhalb eines gemeinsamen Buckets. Ein vergessener Pfadfilter/Präfix-Check in einem gemeinsamen Bucket führt zum Cross-Tenant-Leck; ein fehlendes Tenant-Bucket-Mapping führt dagegen nur dazu, dass gar kein Bucket referenzierbar ist.
+
+Die Provisionierung des Tenant-Buckets ist Teil desselben Provisioning-Schritts wie die Anlage der Tenant-Datenbank in Core `TEN-01` — ein neuer Mandant erhält Datenbank und Bucket in einem automatisierten Schritt.
+
+Innerhalb des Tenant-Buckets entfällt das führende `tenant_id`-Segment, das Schema wird zu:
+
+```
+{modul}/{objekttyp}/{objekt_id}/{revision-oder-teil}
+```
+
+Beispiele (innerhalb des Buckets von Mandant `t-4471`):
+- `dms/documents/doc-9021/rev-3.bin`
+- `mail/messages/msg-88213/part-2-attachment.bin`
+- `archive/backups/2026-08-26/snapshot.tar.zst`
+
+Innerhalb des Pfads bleibt jedes Modul für sein `{objekttyp}`-Vokabular selbst zuständig (DMS: `documents`, `thumbnails`; Mail: `messages`, `attachments`) — nur die äußeren zwei Ebenen (`modul`/Rest) sind projektweit fix, damit ein Werkzeug (Backup, Export, Kapazitätsauswertung) modulübergreifend funktioniert, ohne pro Modul eine Sonderbehandlung zu brauchen. Die Mandantentrennung selbst (Bucket-Auswahl) ist damit kein Bestandteil des Pfadschemas mehr, sondern eine reine Provisioning-/Zugriffsschicht-Frage (siehe `mail-kanban/tickets/ARC-06.md`, Mandantentrennung im Objekt-Storage).
+
+## 4. Verarbeitungsreihenfolge (Lebenszyklus einer Datei)
+
+Zusammengeführt aus den bereits getroffenen Einzelentscheidungen (FDN-01/DOC-01/DOC-02/FDN-09 im DMS-Board, ARC-01/ARC-02/ARC-03 im Mail-Board):
+
+```
+1. Empfang (Klartext, im Speicher/temporär)
+2. SHA-256-Hash auf Klartext
+3. Duplikatsprüfung (DOC-02 / ARC-03) — Gate: nur neue oder bewusste Duplikate gehen weiter
+4. Verschlüsselung at rest (FDN-09 / ARC-02, AES-256-GCM, Envelope Encryption)
+5. Ablage im Objekt-Storage nach Pfadkonvention (Abschnitt 3)
+6. Prüfsummenvergleich nach dem Schreiben (Akzeptanzkriterium in FDN-03/ARC-01)
+7. Registrierung bei Archive-Retention-Engine (RET-05 Modul-Adapter) — Aufbewahrungsfrist beginnt zu laufen
+8. OCR (SRC-05 / SRC-07) und Indexierung (SRC-02 / SRC-01+SRC-02) — läuft NACH Schritt 3, nicht parallel dazu
+```
+
+Löschung läuft ausschließlich über die Archive-Engine (Retention/Legal-Hold-geprüft), niemals direkt durch DMS oder Mail — das ist bereits Konsequenz der Archive-Konsolidierung, hier nur noch einmal aus Storage-Sicht festgehalten: kein Modul löscht Objekte eigenständig aus dem Storage.
+
+## 5. Zugriffsmodell
+
+- **Kein direkter Client-Zugriff auf den Objekt-Storage.** Up-/Downloads laufen über zeitlich begrenzte signierte URLs (FDN-03 Akzeptanzkriterium 2, Standard-Pattern für S3-kompatible Backends), die das Backend ausstellt — Storage-Zugangsdaten selbst erreichen nie den Browser.
+- Presigned-URL-Gültigkeit kurz und konfigurierbar halten (Minuten, nicht Stunden) — lange gültige URLs sind ein unnötig großes Zeitfenster für Linkweitergabe.
+- Storage-Zugangsdaten (S3-Credentials) sind Secrets wie jedes andere — ausschließlich über Umgebungsvariablen, nie im Code (bereits projektweite Regel aus jedem Ticket-Abschluss-Abschnitt).
+
+## 6. Konsistenzprüfung
+
+Jeder Schreibvorgang wird durch Prüfsummenvergleich verifiziert (bestehende Akzeptanzkriterien in FDN-03 und ARC-01). Für den Bestand insgesamt zusätzlich:
+
+- **Reconciliation** (Archive `BAK-05`): periodischer Abgleich zwischen den in Postgres referenzierten Objekten und dem tatsächlichen Storage-Inhalt — erkennt verwaiste Metadaten-Einträge (Objekt fehlt im Storage) und verwaiste Storage-Objekte (kein Metadaten-Eintrag mehr, z.B. nach einem Fehler bei Schritt 5/6 aus Abschnitt 4).
+- Reale Lehre aus archivmail: Reconciliation-Reports existierten dort bereits als Soll/Ist-Abgleich (siehe `datenmodell-altsysteme.md`) — Muster wird über Archive `BAK-05` fortgeführt, nicht neu erfunden.
+- **Integritätsprüfung per Hash** (Archive `BAK-08`): periodischer Scrub-Job, der Stichproben liest, SHA-256 neu berechnet und gegen `file_revisions.checksum_sha256` vergleicht — erkennt stille Inhaltsveränderung/Bit-Rot bei Objekten, die noch existieren.
+
+### 6.1 Grenzen der Prüfung bei extern eingebundenem Kunden-Storage
+
+Bindet ein Kunde einen eigenen S3-Bucket ein, überwachen wir weder dessen Hardware noch dessen Betreiber. Was NEXARCH technisch leisten kann, hängt davon ab, was wir dürfen:
+
+- **Kein Lesezugriff, nur Schreiben:** keine Verifikation möglich. Wir können höchstens den Upload-Beleg und den Hash zum Upload-Zeitpunkt festhalten — das ist kein Monitoring, sondern ein Nachweis für später.
+- **Lese-/API-Zugriff vorhanden:** Existenz- (`BAK-05`) und Inhaltsprüfung (`BAK-08`) sind möglich, aber periodisch/stichprobenhaft, nicht in Echtzeit, und nur für das, was wir selbst wieder lesen können.
+
+Was diese beiden Prüfungen NICHT leisten:
+
+- Sie erkennen nicht lückenlos, ob ein Objekt unbefugt gelöscht oder durch ein neues ersetzt wurde, wenn uns keine Inventar-/Versionsdaten vom Storage vorliegen (ETag/LastModified/VersionId — sofern verfügbar, nicht überall ein einfacher Hash, besonders bei Multipart-Uploads oder providerseitiger Verschlüsselung, daher nicht als alleinige Wahrheitsquelle nehmen).
+- Sie ersetzen keine storage-seitige WORM-/Versionierungsstrategie und keine Zugriffs-/Audit-Logs des Storage-Providers — nur Object Lock, Versioning, Retention Policies und providerseitige Audit-Logs verhindern Veränderungen oder machen sie lückenlos nachweisbar, ein nachträglicher Scrub kann sie nur *bemerken*, nicht verhindern.
+
+### 6.2 Drei Betriebsmodi für Objekt-Storage
+
+1. **NEXARCH-managed Storage** — wir kontrollieren Policies, Versioning, Object Lock, Backup vollständig.
+2. **Customer-managed, compliant Storage** — Kunde stellt den S3-Bucket, aber vertraglich/beim Onboarding verbindlich verlangt: Versioning aktiviert, Object Lock/Retention bei revisionssicherer Nutzung, Audit-Logs aktiviert, eingeschränkte Löschrechte, idealerweise eigener Backup-/Replikationspfad.
+3. **Customer-managed, non-compliant Storage** — nur für nicht revisionssichere Nutzung zulässig; muss im System klar markiert sein ("keine belastbare Unveränderbarkeitsgarantie"), damit keine falsche GoBD-Erwartung entsteht.
+
+## 7. Backup vs. Storage-Redundanz — zwei verschiedene Schichten
+
+Häufige Verwechslung, deshalb hier explizit getrennt:
+
+- **Storage-Redundanz** (diese Datei, Abschnitt 2): wie das Backend selbst Datenverlust durch Hardware-Ausfall verhindert (S3-Provider-Redundanz, MinIO-Distributed-Mode, Ceph-Replikation). Schützt vor Festplatten-/Knotenausfall, NICHT vor Anwendungsfehlern oder böswilligem/versehentlichem Löschen.
+- **Backup** (Archive `BAK-01`/`BAK-02`/`BAK-03`): eigenständige, deduplizierende Sicherung nach restic/Borg-Konzept, zeitversetzt, wiederherstellbar auch wenn die Primärkopie durch einen Anwendungsfehler beschädigt wurde. Das ist die Antwort auf "ein Bug löscht fälschlich Dateien" — Storage-Redundanz allein hilft dabei nicht, weil sie den fehlerhaften Löschvorgang originalgetreu mit-repliziert.
+
+Beide Schichten sind nötig, keine ersetzt die andere.
+
+## 8. Export & Portabilität
+
+Aus der DMS-Produkt-DNA fortgeführt (ecoDMS-Lehre: "was die Oberfläche kann, kann auch die offene Schnittstelle", keine Herstellerbindung):
+
+- Vollständiger Export von Dateiinhalt + Metadaten ohne NEXARCH-eigenes Werkzeug muss jederzeit möglich sein (DMS `DOC-08` Massenexport, Mail `ARC-07` Export/Portabilität, Connect `DMS2-01` offenes Austauschformat für Fremd-DMS-Interoperabilität).
+- Objekt-Storage-Ablage selbst nutzt offene Formate (Original-Dateiformat + PDF/A für OCR-Ergebnisse, kein proprietäres Container-Format) — keine Vendor-Lock-Kodierung, die einen Export nachträglich erschweren würde.
+
+## 9. Speicherverbrauch-Messung für Quota/Lizenzierung
+
+~~Offene Lücke~~ — **geklärt (2026-08-28)**: Core `LIC-05` "Speicherverbrauch-Metrik je Tenant" setzt genau den hier vorgeschlagenen Mechanismus um — Objekt-Storage-Treiber der Module (FDN-03/ARC-01) melden bei jedem Schreib-/Löschvorgang die Objektgröße, ein leichtgewichtiger Postgres-Zähler pro Tenant wird geführt, `LIC-03` fragt ihn zur Quota-Durchsetzung ab. `LIC-05` hängt im Core-Abschluss-Gate `QA-05`.
+
+## 10. Arbeitsverzeichnisse (Consume, Quarantäne, Export-Staging, Modell-Cache)
+
+Ergänzung 2026-08-28, angestoßen durch den Vergleich mit paperless-ngx (`consume/`, `data/`, `media/`, `export/`, `trash/`) — mehrere Tickets definieren Funktionalität, die einen lokalen Arbeitsordner braucht, legen aber bisher nicht fest, WO dieser liegt. Papierkorb (DMS `DOC-11`/`DOC-12`, Mail `ARC-05`) braucht dagegen **keinen** eigenen Pfad — das ist ein reines DB-Status-Flag, das Objekt bleibt physisch am gewohnten Platz im Objekt-Storage, bis Archive es nach Fristablauf endgültig entfernt.
+
+### 10.1 Consume-/Hot-Folder (DMS `INT-06`/`INT-08`, Mail `IMP-05`)
+
+Anders als der reguläre Objekt-Storage-Zugriff (Abschnitt 2, ausschließlich über signierte URLs, Abschnitt 5) braucht ein Datei-Watch zwingend ein echtes lokales Dateisystemverzeichnis — S3-kompatible Backends unterstützen kein Datei-Watch. Konsequenz: Consume-Ordner sind **kein Teil des Tenant-Objekt-Storage-Buckets**, sondern ein separater, lokaler Zwischenspeicher je Tenant auf dem Modul-Host:
+
+```
+{consume-root}/{tenant_id}/dms/inbox/
+{consume-root}/{tenant_id}/mail/inbox/
+```
+
+Nach erfolgreicher Verarbeitung (Hash, Duplikatsprüfung, Verschlüsselung, Ablage im Objekt-Storage — Abschnitt 4) wird die Datei aus dem Consume-Ordner entfernt, nicht dauerhaft dort belassen. Consume-Root ist damit strukturell näher an einem Cache als an Aufbewahrung und braucht keine Backup-Einbindung (Abschnitt 7) — im Fehlerfall wird die Quelle erneut abgelegt/gescannt.
+
+### 10.2 Quarantäne (Mail `IMP-06` Virenscan-Fund)
+
+Bei Virenscan-Fund wird die Anhang-Datei nicht gelöscht, sondern in einen isolierten Quarantäne-Bereich verschoben (Nachvollziehbarkeit, siehe Compliance-Anforderung) — ebenfalls lokal, ebenfalls je Tenant:
+
+```
+{consume-root}/{tenant_id}/mail/quarantine/
+```
+
+Quarantäne-Objekte werden nicht automatisch gelöscht; Aufbewahrungsdauer und Zugriff (nur Admin/Security-Rolle) sind Akzeptanzkriterium von `IMP-06`, nicht Gegenstand dieses Dokuments.
+
+### 10.3 Export-Staging (DMS `DOC-08`, Mail `ARC-07`)
+
+Massenexport (ZIP) erzeugt eine temporäre Datei zwischen "Export angestoßen" und "Download abgeschlossen". Diese Staging-Fläche ist rein ephemer (Lebensdauer im Bereich von Minuten bis wenigen Stunden), braucht keine Tenant-Bucket-Struktur und keine Backup-Einbindung:
+
+```
+{export-staging-root}/{tenant_id}/{export_job_id}.zip
+```
+
+Aufräumung nach Ablauf einer kurzen Frist (Vorschlag: 24 Stunden) oder nach bestätigtem Download ist Akzeptanzkriterium der jeweiligen Export-Kachel.
+
+### 10.4 Ollama-Modell-Cache (AI `ENG-02`)
+
+Bisher nicht adressierte Lücke: `ENG-02` (Ollama-Adapter) lädt und hält LLM-Modellgewichte lokal vor — je nach Modellklasse mehrere GB bis über 40 GB (siehe `PROXMOX-DEPLOYMENT.md` Abschnitt 6a, dort nur RAM-Sizing, keine Disk-Planung). Anders als Consume/Quarantäne/Export ist das **kein Zwischenspeicher, sondern persistenter, potenziell großer Datenbestand**, der eine eigene Kapazitätsplanung braucht, getrennt vom restlichen Objekt-Storage:
+
+```
+{ollama-root}/models/
+```
+
+Nicht tenant-partitioniert (Modelle werden über Tenants hinweg geteilt, sofern keine Tenant-spezifische Modellwahl vorliegt — siehe AI `ENG-04`). Bei Stufe-1-Einzel-LXC (siehe `PROXMOX-DEPLOYMENT.md` Abschnitt 2) sollte dieser Pfad auf ein eigenes Volume/Dataset gelegt werden, damit ein wachsender Modellbestand nicht den restlichen Systemspeicher verdrängt — gleiches Isolationsprinzip wie bei Tenant-Buckets (Abschnitt 3), nur nicht tenant-, sondern funktionsbezogen.
+
+### 10.5 Warum eigene Datasets/Mountpoints sinnvoll sind
+
+Alle vier Arbeitsverzeichnisse (10.1–10.4) profitieren aus demselben Grund von eigenen ZFS-Datasets/Mountpoints statt Unterordnern im Root-Dateisystem: unabhängige Quotas (ein vollaufender Consume-Ordner darf nicht das Systemvolume fluten), unabhängige Snapshots/Löschbarkeit (siehe Erfahrung mit `archivmail`-Alt-Deinstallation, `nexarch-state.json` Entscheidungsverlauf 2026-08-28), und die Möglichkeit, unterschiedliche Backup-/Retention-Policies zuzuweisen (Consume/Export brauchen keine, Modell-Cache profitiert von keiner inkrementellen Sicherung großer Binärdateien, sondern von einfacher Neubeschaffung bei Bedarf).

UI-UX-KONZEPT.md

@@ -0,0 +1,54 @@
+# NEXARCH 2.0 – UI/UX-Konzept
+
+Stand: 2026-08-28 (Abschnitt 4/6 aktualisiert). Grundlage: Core `SHL-01` (UI-Shell & Design-System, zentral), `PRODUKTARCHITEKTUR.md`, alle Oberflächen-Tickets über sieben Boards.
+
+## 1. Grundprinzip: eine Shell, sieben Module
+
+`SHL-01` (Core) ist die alleinige Quelle für Layout-Shell, Basis-Komponenten (Tabelle, Dialog, Formularelemente, Toast) und Design-Tokens (Farbe, Abstand, Typografie). Jedes Fachmodul baut seine eigenen Oberflächen darauf auf, aber keines definiert eigene Tokens oder eigene Basis-Komponenten — das war bis zur Konsolidierung (siehe `nexarch-state.json` → `konsolidierungen_durchgefuehrt`) nicht sichergestellt, DMS hätte sonst die einzige Shell gehabt und alle anderen sechs Boards hätten sie kopiert oder wären visuell inkonsistent geblieben.
+
+**Test für "gehört das in SHL-01 oder ins Modul":** Würde eine zweite, unabhängige Implementierung zum selben Ergebnis kommen müssen, damit NEXARCH wie ein Produkt aussieht (Button-Stil, Abstand, Farbpalette)? Dann Core. Ist es fachlich spezifisch für ein Modul (PDF-Viewer, Postfach-Ansicht, Genehmigungs-Ansicht)? Dann das jeweilige Board.
+
+## 2. Navigationsmodell
+
+Aus dem Master-Prompt-Ziel "modulare Oberfläche, Benutzer sehen nur Module für die sie Berechtigung haben" — technisch bereits durch Core `LIC-02` (Feature-Flags je Tenant) und `RBAC-01..04` (Rollen/Rechte) unterlegt:
+
+- **Globale Navigation** (Teil von `SHL-01`): Modul-Umschalter, sichtbar nur für aktivierte + berechtigte Module. Kein Modul zeigt sich selbst an, wenn Core es für den aktuellen Tenant/Benutzer nicht freigibt — das ist dieselbe Backend-seitige Durchsetzungspflicht aus dem Master-Prompt ("Aktivierung darf nicht nur UI-seitig erfolgen"), hier auf die Navigationsebene angewendet: die UI blendet aus, was das Backend ohnehin verweigern würde, nicht umgekehrt als alleiniger Schutzmechanismus.
+- **Modul-interne Navigation**: jedes Fachmodul definiert seine eigene zweite Ebene (DMS: Dokumente/Ordner/Papierkorb; Mail: Postfächer/Suche; Workflow: Aufgaben/Akten/Genehmigungen) — eigenständig, aber visuell aus denselben Shell-Komponenten.
+- **Globale Suche**: im Master-Prompt gefordert, aktuell technisch NICHT als eigenes Ticket vorhanden — siehe Abschnitt 6 (offener Punkt). Die Suche existiert bisher nur je Modul (DMS `SRC-*`, Mail `SRC-*`, bewusst nicht zentralisiert, siehe `nexarch-state.json` → `bewusst_nicht_zentralisiert`), aber eine modulübergreifende Ergebnisliste in EINER Suchleiste ist etwas anderes als ein gemeinsamer Suchindex und wurde bisher nicht bedacht.
+
+## 3. Dashboard & Benutzer-/Tenant-Kontext
+
+- Tenant-Kontext global sichtbar (welcher Mandant ist aktiv, bei Mehrfachzugehörigkeit umschaltbar) — gehört in `SHL-01`, da jedes Modul denselben Tenant-Kontext braucht, nicht nur eines.
+- Ein Landing-Dashboard nach Login existiert bisher nur in Einzelteilen: Core `OPS-02` (zentrale Statusseite, eher Admin-/Betriebssicht als Nutzer-Dashboard), Archive `ANA-02` (Auswertungs-Dashboard, Kennzahlen-fokussiert), Mail/DMS haben kein eigenes Startseiten-Ticket. Kein Ticket bündelt bisher "was sieht ein normaler Benutzer beim ersten Login" — siehe Abschnitt 6.
+
+## 4. Responsive, Theming, Sprache, Barrierefreiheit — zentral in SHL-01 verankert
+
+Update 2026-08-28: WCAG 2.1 AA, i18n-Rahmen (mind. Deutsch/Englisch) und Theming (Hell/Dunkel) sind jetzt verbindliche, in `SHL-01` verankerte Eigenschaften des Design-Systems (Akzeptanzkriterien 4-6, Prüfungen 5-6) — kein modulweiser Einzelfall mehr. Alle Frontend-Kacheln über alle 7 Boards (Core, DMS, Mail, Archive, Workflow, AI, Connect) hängen jetzt in `dependsOn` von `SHL-01` ab und erben diese Eigenschaften strukturell. Zusätzlich existiert je Board ein Barrierefreiheits-Audit-Gate im Abschluss-Gate: DMS `QA-11`, Mail `QA-08`, Core `QA-09`, Workflow `QA-08`, AI `QA-09`, Connect `QA-08` (Archive hat aktuell keine eigene Frontend-Kachel, daher kein Audit nötig).
+
+- **Theming**: Design-Tokens aus `SHL-01` sind die einzige Quelle für Hell/Dunkel-Werte, jetzt mit explizitem Akzeptanzkriterium und Prüfung ("Umschaltung Hell/Dunkel an einer Beispielkomponente ohne Layoutbruch") statt implizit über Breakpoint-Tokens.
+- **Mehrsprachigkeit**: DMS `UX-03`/`UX-04` bleiben das einzige Board mit eigenem, ausführlichem i18n-Ticket (Infrastruktur + tatsächliche DE/EN-Übersetzungen der Inhalte) — das war weiterhin richtig so, denn `SHL-01` liefert nur den *Rahmen* (Sprachumschaltung, Übersetzungsmechanismus für Basis-Komponenten), nicht die modul-eigenen Textbausteine. Jedes Modul bindet seine Übersetzungen über den SHL-01-Rahmen ein, statt einen eigenen Mechanismus zu bauen.
+- **Barrierefreiheit**: WCAG 2.1 AA ist jetzt in jedem der 7 Boards durch ein Audit-Gate abgesichert, nicht nur DMS/Mail wie zuvor. `SHL-01`s Akzeptanzkriterien 1 und 4 ("Kontrastwerte erfüllen mindestens AA" / "Basis-Komponenten erfüllen WCAG 2.1 AA als Grundeigenschaft") sind die gemeinsame Grundlage, auf der alle sechs Audit-Gates aufbauen.
+
+## 5. Prinzipien aus dem Master-Prompt, konkret zugeordnet
+
+| Master-Prompt-Ziel | Wo umgesetzt |
+|---|---|
+| Übersichtlich, schnell | `SHL-01` Basis-Komponenten, keine schwere Anwendungsserver-Startzeit (Produkt-DNA-Linie aus allen Boards: "kein Alfresco-Overhead") |
+| Responsive, Desktop und Tablet | DMS `UX-01`, Mail `UX-04`, Design-Tokens/Breakpoints in `SHL-01` |
+| Moderne Navigation | Abschnitt 2 dieses Dokuments |
+| Modulare Oberfläche | Sieben-Boards-Architektur selbst (`PRODUKTARCHITEKTUR.md` Abschnitt 2) |
+| Globale Suche | **offen**, siehe Abschnitt 6 |
+| Dashboard | **teilweise offen**, siehe Abschnitt 6 |
+| Benutzer-/Tenant-Kontext | Abschnitt 3 |
+| Klare Workflows | Workflow-Board (Genehmigungen, Aufgaben, Akte) + dessen UI-Tickets (`APR-03`, `TSK-04`, `RTE-03`, `VOR-05`) |
+| Nur berechtigte Module sichtbar | Abschnitt 2, Core `LIC-02`/`RBAC-*` |
+
+## 6. Offene Punkte
+
+- **Globale, modulübergreifende Suche**: keine Ausgangslage-Referenz in irgendeinem Board deutet auf eine gemeinsame Sucheingabe hin, die Ergebnisse aus DMS UND Mail UND Workflow-Akten gleichzeitig anzeigt. Die einzelnen Suchindizes bleiben bewusst getrennt (Entscheidung bereits getroffen) — aber eine gemeinsame Such-UI-Schicht, die mehrere modul-eigene Such-APIs parallel abfragt und zusammenführt, ist etwas anderes und wurde bisher nicht geplant.
+- **Zentrales Nutzer-Dashboard nach Login**: existiert nur fragmentiert (Statusseite = Admin-Sicht, Auswertungs-Dashboard = Kennzahlen-Sicht). Kein Ticket für "was sieht eine normale Sachbearbeiterin direkt nach dem Einloggen" (offene Wiedervorlagen, neue Mails, zugewiesene Aufgaben aus mehreren Modulen gebündelt).
+- **Kein UI-Prototyp/Mockup vorhanden**: dieses Dokument beschreibt Prinzipien und Zuständigkeiten, keine tatsächlichen Bildschirmentwürfe — die entstehen erst in der Umsetzung der einzelnen Oberflächen-Tickets.
+
+Erledigt seit Stand 2026-08-26 (nicht mehr offen): Mehrsprachigkeits-Infrastruktur war unentschieden zwischen Zentralisierung und Pro-Modul-Wiederholung — inzwischen entschieden: `SHL-01` liefert den zentralen i18n-*Rahmen* (Umschaltmechanismus), DMS `UX-03`/`UX-04` bleibt bewusst das einzige Board mit vollständiger Übersetzungsarbeit, da Textbausteine modul-eigen sind (siehe Abschnitt 4). WCAG/Theming-Uneinheitlichkeit über die Boards ebenfalls behoben, siehe Abschnitt 4.
+
+Rückfrage an dich: sollen globale Suche und zentrales Dashboard als neue Tickets ergänzt werden (vermutlich beide in Core `SHL`-Epic, da modulübergreifend), oder bleibt das für später zurückgestellt?