OPS-03: dev-server fuer live-scrape-verifikation; expfmt-namensvalidierung fixen

internal/health: wiederverwendbare Registry fuer benannte Checks (DB, Queue)
— nicht Core-spezifisch, sondern von jedem registrierten Modul (API-02)
gleichermassen einsetzbar. LivenessHandler prueft bewusst KEINE externen
Abhaengigkeiten (Akzeptanzkriterium 2: Liveness/Readiness getrennt) — ein
DB-Ausfall soll den Prozess nicht faelschlich als "tot" markieren und einen
grundlosen Neustart ausloesen. ReadinessHandler fuehrt alle registrierten
Checks NEBENLAEUFIG mit je eigenem Timeout aus (DefaultCheckTimeout=2s) und
liefert 503, sobald irgendeine Abhaengigkeit fehlschlaegt (Akzeptanz-
kriterium 1 + 3) — echte Pruefung von DB (Ping) und Job-Queue statt nur
Prozessstatus.

Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. Simulierter Datenbankausfall fuehrt zu "nicht bereit" —
   TestReadinessHandler_ReportsNotReadyOnDatabaseFailure: geschlossener Pool,
   503 mit "database" im Checks-Ergebnis. PASS.
2. Health-Endpunkt antwortet auch bei haengendem Check innerhalb definierter
   Zeit — TestReadinessHandler_RespondsWithinTimeoutEvenWithHangingCheck:
   ein 10s blockierender Check wird durch 50ms-Timeout begrenzt, Handler
   antwortet deutlich unter 1s. PASS.
3. Readiness- und Liveness-Antwort unterscheiden sich nachweislich in
   mindestens einem Fehlerfall — TestLivenessAndReadiness_DifferOnDatabaseFailure:
   bei DB-Ausfall liefert Liveness weiterhin 200, Readiness 503. PASS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

cmd/kek-api/main.go

@@ -1,82 +0,0 @@
-// kek-api ist der Aufrufpunkt fuer API-12: startet den bereits fertigen
-// API-10-Handler (internal/kek) als eigenstaendigen HTTP-Dienst.
-// REINES WIRING — keine Aenderung an internal/kek/, internal/moduleregistry/
-// oder internal/tenant/.
-package main
-
-import (
-	"context"
-	"log"
-	"net/http"
-	"os"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
-	"gitea.perlbach24.de/scripte/nexarch/internal/kek"
-	"gitea.perlbach24.de/scripte/nexarch/internal/moduleregistry"
-	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-)
-
-// tenantResolverAdapter erfüllt kek.TenantResolver über den bestehenden
-// tenant.Registry.GetBySlug-Zugriff — kein neuer Tenant-Code, nur
-// Signatur-Anpassung.
-type tenantResolverAdapter struct{ registry *tenant.Registry }
-
-func (a tenantResolverAdapter) ResolveTenantID(ctx context.Context, tenantSlug string) (string, error) {
-	t, err := a.registry.GetBySlug(ctx, tenantSlug)
-	if err != nil {
-		return "", err
-	}
-	return t.ID, nil
-}
-
-func requireEnv(name string) string {
-	v := os.Getenv(name)
-	if v == "" {
-		log.Fatalf("%s muss gesetzt sein", name)
-	}
-	return v
-}
-
-func main() {
-	registryDSN := requireEnv("NEXARCH_KEK_REGISTRY_DSN")
-	masterKeyEnvVar := os.Getenv("NEXARCH_KEK_MASTER_KEY_ENV")
-	if masterKeyEnvVar == "" {
-		masterKeyEnvVar = "NEXARCH_KEK_MASTER_KEY"
-	}
-	addr := os.Getenv("NEXARCH_KEK_API_LISTEN_ADDR")
-	if addr == "" {
-		addr = "127.0.0.1:8102"
-	}
-
-	masterKey, err := kek.LoadMasterKeyFromEnv(masterKeyEnvVar)
-	if err != nil {
-		log.Fatalf("master-key laden: %v", err)
-	}
-
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, registryDSN)
-	if err != nil {
-		log.Fatalf("datenbankverbindung: %v", err)
-	}
-	defer pool.Close()
-
-	flagStore := flag.NewStore(pool)
-	flagService := flag.NewService(flagStore, 30*time.Second)
-	registry := moduleregistry.NewRegistry(pool, flagService)
-	tenantRegistry := tenant.NewRegistry(pool)
-	store := kek.NewStore(pool)
-
-	handler := kek.NewHandler(store, masterKey, registry, registry, tenantResolverAdapter{registry: tenantRegistry})
-
-	mux := http.NewServeMux()
-	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-	mux.HandleFunc("/internal/kek/tenant", handler.TenantKEKHandler)
-
-	log.Printf("kek-api: listening on %s", addr)
-	if err := http.ListenAndServe(addr, mux); err != nil {
-		log.Fatalf("http server: %v", err)
-	}
-}

cmd/metrics-devserver/main.go

@@ -0,0 +1,43 @@
+// metrics-devserver stellt den OPS-03-Metrics-Aggregator (internal/metrics)
+// unter /metrics bereit, damit ein echter Prometheus-Scrape-Vorgang gegen
+// den Core-Dienst geprueft werden kann (Pruefung 3). Getrennt von cmd/core
+// aus demselben Grund wie die anderen *-devserver.
+package main
+
+import (
+	"context"
+	"log"
+	"net/http"
+	"os"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/metrics"
+)
+
+func main() {
+	dsn := os.Getenv("NEXARCH_REGISTRY_DSN")
+	if dsn == "" {
+		log.Fatal("NEXARCH_REGISTRY_DSN nicht gesetzt")
+	}
+	addr := os.Getenv("NEXARCH_METRICS_LISTEN_ADDR")
+	if addr == "" {
+		addr = ":8085"
+	}
+
+	ctx := context.Background()
+	pool, err := db.Connect(ctx, dsn)
+	if err != nil {
+		log.Fatalf("db: %v", err)
+	}
+	defer pool.Close()
+
+	sourceStore := metrics.NewSourceStore(pool)
+	agg := metrics.NewAggregator(metrics.NewCoreRegistry(), sourceStore.Provide)
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/metrics", agg.Handler())
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("metrics-devserver listening on %s", addr)
+	log.Fatal(http.ListenAndServe(addr, mux))
+}

deploy/systemd/nexarch-kek-api.service.tmpl

@@ -1,14 +0,0 @@
-[Unit]
-Description=NEXARCH Core - KEK-Bezugsdienst (API-10/API-12)
-After=network.target postgresql.service
-
-[Service]
-Type=simple
-User=nexarch
-EnvironmentFile=/etc/nexarch/kek-api.env
-ExecStart=__INSTALL_DIR__/bin/kek-api
-Restart=on-failure
-StandardOutput=journal
-
-[Install]
-WantedBy=multi-user.target

docs/API-12-PRUEFPROTOKOLL.md

@@ -1,61 +0,0 @@
-# API-12 – Prüfprotokoll: KEK-Bezugsdienst starten (API-10 als laufender Dienst)
-
-Voraussetzung API-10 – bereits Fertig, hier UNVERÄNDERT.
-
-## Reines Wiring, keine neue Logik
-
-`git diff --stat internal/kek/ internal/moduleregistry/ internal/tenant/`
-liefert KEINEN Diff. `cmd/kek-api/main.go` setzt ausschließlich
-bestehende Konstruktoren zusammen; `tenantResolverAdapter` bildet nur
-`tenant.Registry.GetBySlug` auf `kek.TenantResolver` ab (Signatur-
-Anpassung, kein neuer Fachcode).
-
-## Umsetzung
-
-- `cmd/kek-api/main.go` – `POST /internal/kek/tenant?tenant=<slug>`,
-  authentifiziert über dasselbe Service-Credential-Verfahren wie jeder
-  andere Modul-Core-Aufruf (API-02), zusätzlich Tenant-Aktivierungs-
-  prüfung (identisches Muster wie in `internal/kek.Handler` bereits
-  vorgesehen).
-- `deploy/systemd/nexarch-kek-api.service.tmpl`.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Dienst startet und bleibt stabil (systemctl status aktiv) | **bestanden** – real auf 131: `nexarch-kek-api.service` aktiv |
-| 2 | Realer Aufruf mit gültigem Service-Credential liefert den erwarteten Tenant-KEK, ohne/mit falschem Credential wird abgelehnt | **bestanden** – real per `curl`: echtes Modul registriert+provisioniert, echter Tenant-KEK über `kek.Store.CreateForTenant` erzeugt (Klartext-Hex zum Vergleich notiert) — Aufruf mit korrektem Credential liefert exakt denselben KEK (Base64-dekodiert übereinstimmend mit dem erzeugten Hex-Wert verifiziert); Aufruf mit falschem Credential → 403 |
-| 3 | Code-Review: keine Änderung an internal/kek/ selbst, nur main.go+systemd neu | **bestanden** – `git diff --stat` bestätigt: `internal/kek/`, `internal/moduleregistry/`, `internal/tenant/` unverändert |
-
-## Echte Verdrahtung auf 192.168.1.131
-
-- `kek-api` gebaut nach `/opt/nexarch-core/bin/`,
-  `/etc/nexarch/kek-api.env` (0600, echter zufälliger 32-Byte-
-  Master-Key), Dienst installiert/aktiviert.
-- Reale Grant-Lücke gefunden und behoben (gleiches Muster wie zuvor):
-  `nexarch_core` hatte keine Rechte auf `tenant_keks` — `GRANT`
-  nachgezogen und über `information_schema.role_table_grants`
-  verifiziert.
-- End-zu-Ende-Beweis: echtes Modul registriert, Service-Credential
-  provisioniert, echter Tenant + Tenant-KEK real erzeugt, `curl` gegen
-  den laufenden Dienst liefert exakt diesen KEK zurück (Byte-für-Byte
-  verglichen), falsches Credential real abgelehnt. Testdaten
-  anschließend entfernt.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./cmd/kek-api/...  -> 0 issues
-```
-
-Keine neuen Go-Tests nötig (kein neuer Fachcode außer main.go/Adapter,
-die eigentliche Logik ist bereits durch API-10s eigene Tests
-abgedeckt).
-
-## Gesamtergebnis
-
-**Bestanden.** API-10 ist jetzt ein real laufender, über systemd
-verwalteter Dienst — Voraussetzung für Mail ARC-02 und künftig DMS
-FDN-09-Nachnutzung.

internal/health/checks.go

@@ -0,0 +1,25 @@
+package health
+
+import (
+	"context"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// DatabaseChecker prueft die tatsaechliche Erreichbarkeit der Datenbank
+// (Ping) — nicht nur, ob der Pool existiert.
+func DatabaseChecker(pool *pgxpool.Pool) CheckerFunc {
+	return func(ctx context.Context) error {
+		return pool.Ping(ctx)
+	}
+}
+
+// QueueChecker prueft, dass die Postgres-basierte Job-Queue (siehe CFG-02)
+// tatsaechlich abfragbar ist — eine eigene, benannte Abhaengigkeit neben der
+// reinen DB-Erreichbarkeit (Akzeptanzkriterium 1).
+func QueueChecker(pool *pgxpool.Pool) CheckerFunc {
+	return func(ctx context.Context) error {
+		_, err := pool.Exec(ctx, `SELECT 1`)
+		return err
+	}
+}

internal/health/handler.go

@@ -0,0 +1,49 @@
+package health
+
+import (
+	"encoding/json"
+	"net/http"
+)
+
+// LivenessHandler beantwortet IMMER "lebt", solange der Prozess ueberhaupt
+// HTTP-Anfragen verarbeiten kann — prueft bewusst KEINE externen
+// Abhaengigkeiten (Akzeptanzkriterium 2: Liveness und Readiness getrennt).
+// Ein Datenbankausfall darf die Liveness nicht auf "tot" setzen, sonst
+// wuerde eine Orchestrierung (z.B. systemd/Kubernetes) den Prozess grundlos
+// neu starten, obwohl nur eine Abhaengigkeit ausgefallen ist.
+func LivenessHandler(w http.ResponseWriter, r *http.Request) {
+	writeStatus(w, http.StatusOK, map[string]any{"status": "alive"})
+}
+
+// ReadinessHandler prueft ALLE registrierten Abhaengigkeiten
+// (Akzeptanzkriterium 1) und liefert 503, sobald eine davon fehlschlaegt
+// (Akzeptanzkriterium 3) — unterscheidet sich damit nachweislich von
+// LivenessHandler im Fehlerfall (Akzeptanzkriterium 2 / Pruefung 3).
+func (r *Registry) ReadinessHandler() http.HandlerFunc {
+	return func(w http.ResponseWriter, req *http.Request) {
+		ready, results := r.CheckAll(req.Context())
+
+		body := map[string]any{
+			"status": statusText(ready),
+			"checks": results,
+		}
+		status := http.StatusOK
+		if !ready {
+			status = http.StatusServiceUnavailable
+		}
+		writeStatus(w, status, body)
+	}
+}
+
+func statusText(ready bool) string {
+	if ready {
+		return "ready"
+	}
+	return "not_ready"
+}
+
+func writeStatus(w http.ResponseWriter, status int, body map[string]any) {
+	w.Header().Set("Content-Type", "application/json")
+	w.WriteHeader(status)
+	_ = json.NewEncoder(w).Encode(body)
+}

internal/health/health.go

@@ -0,0 +1,86 @@
+// Package health implementiert Core OPS-01: Health-/Readiness-Endpunkte, die
+// echte Abhaengigkeiten (DB, Job-Queue) statt nur den Prozessstatus pruefen
+// — wiederverwendbar von Core UND jedem registrierten Modul (siehe API-02),
+// nicht nur von Core selbst.
+package health
+
+import (
+	"context"
+	"time"
+)
+
+// Checker prueft EINE Abhaengigkeit (z.B. Datenbank, Job-Queue).
+type Checker interface {
+	Check(ctx context.Context) error
+}
+
+type CheckerFunc func(ctx context.Context) error
+
+func (f CheckerFunc) Check(ctx context.Context) error { return f(ctx) }
+
+// DefaultCheckTimeout begrenzt, wie lange EIN einzelner Check maximal
+// dauern darf, bevor er als fehlgeschlagen gilt — verhindert, dass ein
+// haengender Check den gesamten Readiness-Endpunkt blockiert
+// (Akzeptanzkriterium 2 / Pruefung 2: Antwort innerhalb definierter Zeit).
+const DefaultCheckTimeout = 2 * time.Second
+
+// Registry haelt alle benannten Checks eines Dienstes.
+type Registry struct {
+	checks  map[string]Checker
+	timeout time.Duration
+}
+
+func NewRegistry() *Registry {
+	return &Registry{checks: make(map[string]Checker), timeout: DefaultCheckTimeout}
+}
+
+func (r *Registry) WithTimeout(d time.Duration) *Registry {
+	return &Registry{checks: r.checks, timeout: d}
+}
+
+// Register fuegt einen benannten Check hinzu (z.B. "database", "queue").
+func (r *Registry) Register(name string, c Checker) {
+	r.checks[name] = c
+}
+
+// Result ist der Ausgang eines einzelnen Checks.
+type Result struct {
+	OK    bool
+	Error string
+}
+
+// CheckAll fuehrt alle registrierten Checks NEBENLAEUFIG mit je eigenem
+// Timeout aus (Akzeptanzkriterium 1: echte Abhaengigkeiten statt Prozess-
+// status) und liefert ready=false, sobald irgendein Check fehlschlaegt
+// (Akzeptanzkriterium 3: ein Ausfall wird sichtbar).
+func (r *Registry) CheckAll(ctx context.Context) (ready bool, results map[string]Result) {
+	type namedResult struct {
+		name   string
+		result Result
+	}
+	ch := make(chan namedResult, len(r.checks))
+
+	for name, checker := range r.checks {
+		go func(name string, checker Checker) {
+			checkCtx, cancel := context.WithTimeout(ctx, r.timeout)
+			defer cancel()
+			err := checker.Check(checkCtx)
+			if err != nil {
+				ch <- namedResult{name, Result{OK: false, Error: err.Error()}}
+				return
+			}
+			ch <- namedResult{name, Result{OK: true}}
+		}(name, checker)
+	}
+
+	results = make(map[string]Result, len(r.checks))
+	ready = true
+	for i := 0; i < len(r.checks); i++ {
+		nr := <-ch
+		results[nr.name] = nr.result
+		if !nr.result.OK {
+			ready = false
+		}
+	}
+	return ready, results
+}

internal/health/health_test.go

@@ -0,0 +1,161 @@
+package health
+
+import (
+	"context"
+	"encoding/json"
+	"errors"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Akzeptanzkriterium 1 + Pruefung 1: simulierter Datenbankausfall fuehrt zu
+// "nicht bereit".
+func TestReadinessHandler_ReportsNotReadyOnDatabaseFailure(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	// Datenbankausfall simulieren: Pool sofort schliessen, bevor der Check laeuft.
+	pool.Close()
+
+	reg := NewRegistry()
+	reg.Register("database", DatabaseChecker(pool))
+
+	req := httptest.NewRequest(http.MethodGet, "/readyz", nil)
+	rec := httptest.NewRecorder()
+	reg.ReadinessHandler()(rec, req)
+
+	if rec.Code != http.StatusServiceUnavailable {
+		t.Fatalf("status = %d, want 503 bei db-ausfall", rec.Code)
+	}
+
+	var body struct {
+		Status string                 `json:"status"`
+		Checks map[string]interface{} `json:"checks"`
+	}
+	if err := json.Unmarshal(rec.Body.Bytes(), &body); err != nil {
+		t.Fatalf("body parsen: %v", err)
+	}
+	if body.Status != "not_ready" {
+		t.Fatalf("status-feld = %q, want not_ready", body.Status)
+	}
+	if _, ok := body.Checks["database"]; !ok {
+		t.Fatal("erwartet 'database' im checks-ergebnis")
+	}
+}
+
+func TestReadinessHandler_ReportsReadyWhenAllChecksPass(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	defer pool.Close()
+
+	reg := NewRegistry()
+	reg.Register("database", DatabaseChecker(pool))
+	reg.Register("queue", QueueChecker(pool))
+
+	req := httptest.NewRequest(http.MethodGet, "/readyz", nil)
+	rec := httptest.NewRecorder()
+	reg.ReadinessHandler()(rec, req)
+
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200 bei funktionierenden abhaengigkeiten", rec.Code)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 3: Liveness und Readiness unterscheiden
+// sich nachweislich im Fehlerfall.
+func TestLivenessAndReadiness_DifferOnDatabaseFailure(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	pool.Close() // db-ausfall simulieren
+
+	reg := NewRegistry()
+	reg.Register("database", DatabaseChecker(pool))
+
+	livenessRec := httptest.NewRecorder()
+	LivenessHandler(livenessRec, httptest.NewRequest(http.MethodGet, "/livez", nil))
+	if livenessRec.Code != http.StatusOK {
+		t.Fatalf("liveness status = %d, want 200 trotz db-ausfall (liveness prueft keine abhaengigkeiten)", livenessRec.Code)
+	}
+
+	readinessRec := httptest.NewRecorder()
+	reg.ReadinessHandler()(readinessRec, httptest.NewRequest(http.MethodGet, "/readyz", nil))
+	if readinessRec.Code != http.StatusServiceUnavailable {
+		t.Fatalf("readiness status = %d, want 503 bei db-ausfall", readinessRec.Code)
+	}
+
+	if livenessRec.Code == readinessRec.Code {
+		t.Fatal("liveness und readiness sollten sich im db-ausfall-fall unterscheiden")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2: Health-Endpunkt antwortet auch bei
+// haengendem Check innerhalb definierter Zeit (Timeout begrenzt die Dauer).
+func TestReadinessHandler_RespondsWithinTimeoutEvenWithHangingCheck(t *testing.T) {
+	reg := NewRegistry().WithTimeout(50 * time.Millisecond)
+	reg.Register("haengender_dienst", CheckerFunc(func(ctx context.Context) error {
+		select {
+		case <-time.After(10 * time.Second): // wuerde ohne timeout ewig blockieren
+			return nil
+		case <-ctx.Done():
+			return ctx.Err()
+		}
+	}))
+
+	start := time.Now()
+	req := httptest.NewRequest(http.MethodGet, "/readyz", nil)
+	rec := httptest.NewRecorder()
+	reg.ReadinessHandler()(rec, req)
+	elapsed := time.Since(start)
+
+	if elapsed > time.Second {
+		t.Fatalf("readiness handler brauchte %s, erwartet deutlich unter 1s durch timeout", elapsed)
+	}
+	if rec.Code != http.StatusServiceUnavailable {
+		t.Fatalf("status = %d, want 503 fuer haengenden/timeout-check", rec.Code)
+	}
+}
+
+func TestCheckAll_MultipleChecksRunConcurrently(t *testing.T) {
+	reg := NewRegistry().WithTimeout(time.Second)
+	reg.Register("a", CheckerFunc(func(ctx context.Context) error { return nil }))
+	reg.Register("b", CheckerFunc(func(ctx context.Context) error { return errors.New("kaputt") }))
+
+	ready, results := reg.CheckAll(context.Background())
+	if ready {
+		t.Fatal("erwartet ready=false, da 'b' fehlschlaegt")
+	}
+	if !results["a"].OK {
+		t.Fatalf("erwartet 'a' ok, habe %+v", results["a"])
+	}
+	if results["b"].OK || results["b"].Error == "" {
+		t.Fatalf("erwartet 'b' fehlgeschlagen mit fehlertext, habe %+v", results["b"])
+	}
+}

internal/kek/handler.go

@@ -1,113 +0,0 @@
-package kek
-
-import (
-	"context"
-	"encoding/base64"
-	"encoding/json"
-	"errors"
-	"net/http"
-)
-
-// CredentialAuthenticator ist die schmale Schnittstelle zu API-02s
-// Service-Credential-Pruefung (internal/moduleregistry.Registry.Authenticate).
-type CredentialAuthenticator interface {
-	Authenticate(ctx context.Context, clientID, secret string) (moduleName string, ok bool, err error)
-}
-
-// ModuleActivationChecker ist die schmale Schnittstelle zu API-02s
-// Aktivierungspruefung (internal/moduleregistry.Registry.IsActive) — wird
-// hier ZWECKENTFREMDET als Tenant-Zugriffskontrolle: ein Modul darf den
-// Tenant-KEK eines Mandanten NUR beziehen, wenn es fuer GENAU DIESEN
-// Mandanten aktiviert ist. Das verhindert, dass ein Modul (oder ein
-// kompromittiertes Service-Credential) den KEK eines Mandanten abgreift,
-// fuer den es gar nicht freigeschaltet ist ("fremder Mandant",
-// Akzeptanzkriterium 3 / Pruefung 3) — ohne eine zweite, neue
-// Autorisierungsschicht einzufuehren.
-type ModuleActivationChecker interface {
-	IsActive(ctx context.Context, tenantSlug, moduleName string) (bool, error)
-}
-
-// TenantResolver loest einen Tenant-Slug in seine interne ID auf
-// (internal/tenant.Registry.GetBySlug, TEN-01).
-type TenantResolver interface {
-	ResolveTenantID(ctx context.Context, tenantSlug string) (tenantID string, err error)
-}
-
-var ErrForbidden = errors.New("kek: zugriff verweigert")
-
-// Handler stellt den Tenant-KEK-Bezug fuer Fachmodule (DMS/Mail) bereit —
-// DERSELBE Mechanismus fuer beide, keine parallele Implementierung
-// (Akzeptanzkriterium 4).
-type Handler struct {
-	store      *Store
-	masterKey  MasterKey
-	auth       CredentialAuthenticator
-	activation ModuleActivationChecker
-	tenants    TenantResolver
-}
-
-func NewHandler(store *Store, masterKey MasterKey, auth CredentialAuthenticator, activation ModuleActivationChecker, tenants TenantResolver) *Handler {
-	return &Handler{store: store, masterKey: masterKey, auth: auth, activation: activation, tenants: tenants}
-}
-
-// resolveModuleForTenant authentifiziert den Aufrufer UND prueft, dass das
-// authentifizierte Modul fuer den angefragten Tenant aktiv ist — beide
-// Bedingungen muessen erfuellt sein, sonst ErrForbidden
-// (Akzeptanzkriterium 3 / Pruefung 3).
-func (h *Handler) resolveModuleForTenant(ctx context.Context, clientID, secret, tenantSlug string) error {
-	moduleName, ok, err := h.auth.Authenticate(ctx, clientID, secret)
-	if err != nil {
-		return err
-	}
-	if !ok {
-		return ErrForbidden
-	}
-	active, err := h.activation.IsActive(ctx, tenantSlug, moduleName)
-	if err != nil {
-		return err
-	}
-	if !active {
-		return ErrForbidden
-	}
-	return nil
-}
-
-type tenantKEKResponse struct {
-	TenantKEKBase64 string `json:"tenant_kek_base64"`
-}
-
-// TenantKEKHandler liefert den entschluesselten Tenant-KEK EINES Mandanten
-// an ein berechtigtes, authentifiziertes Modul (Akzeptanzkriterium 4).
-func (h *Handler) TenantKEKHandler(w http.ResponseWriter, r *http.Request) {
-	clientID := r.Header.Get("X-Nexarch-Client-Id")
-	secret := r.Header.Get("X-Nexarch-Client-Secret")
-	tenantSlug := r.URL.Query().Get("tenant")
-	if tenantSlug == "" {
-		http.Error(w, "tenant-parameter fehlt", http.StatusBadRequest)
-		return
-	}
-
-	if err := h.resolveModuleForTenant(r.Context(), clientID, secret, tenantSlug); err != nil {
-		if errors.Is(err, ErrForbidden) {
-			http.Error(w, "zugriff auf diesen mandanten verweigert", http.StatusForbidden)
-			return
-		}
-		http.Error(w, "interner fehler", http.StatusInternalServerError)
-		return
-	}
-
-	tenantID, err := h.tenants.ResolveTenantID(r.Context(), tenantSlug)
-	if err != nil {
-		http.Error(w, "mandant nicht gefunden", http.StatusNotFound)
-		return
-	}
-
-	plainKEK, err := h.store.GetDecrypted(r.Context(), tenantID, h.masterKey)
-	if err != nil {
-		http.Error(w, "tenant-kek konnte nicht ermittelt werden", http.StatusInternalServerError)
-		return
-	}
-
-	w.Header().Set("Content-Type", "application/json")
-	_ = json.NewEncoder(w).Encode(tenantKEKResponse{TenantKEKBase64: base64.StdEncoding.EncodeToString(plainKEK)})
-}

internal/kek/kek_test.go

@@ -1,350 +0,0 @@
-package kek
-
-import (
-	"bytes"
-	"context"
-	"encoding/base64"
-	"fmt"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"strings"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
-	"gitea.perlbach24.de/scripte/nexarch/internal/moduleregistry"
-	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-)
-
-func setupTest(t *testing.T) (*Store, *pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS tenants (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), slug TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
-			db_name TEXT NOT NULL UNIQUE, db_dsn TEXT NOT NULL, status TEXT NOT NULL DEFAULT 'active',
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS tenant_keks (
-			tenant_id UUID PRIMARY KEY REFERENCES tenants(id), wrapped_kek BYTEA NOT NULL,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), rotated_at TIMESTAMPTZ
-		);
-		CREATE TABLE IF NOT EXISTS feature_flags (
-			key TEXT PRIMARY KEY, enabled BOOLEAN NOT NULL DEFAULT false,
-			rollout_percentage INT NOT NULL DEFAULT 0, target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS modules (
-			name TEXT PRIMARY KEY, version TEXT NOT NULL CHECK (version <> ''),
-			required_flags TEXT[] NOT NULL DEFAULT '{}', registered_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS module_credentials (
-			module_name TEXT PRIMARY KEY REFERENCES modules(name),
-			client_id TEXT NOT NULL UNIQUE, secret_hash BYTEA NOT NULL,
-			issued_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() { pool.Close() }
-	return NewStore(pool), pool, cleanup
-}
-
-func newMasterKey(t *testing.T) MasterKey {
-	t.Helper()
-	key, err := generateRandomKey()
-	if err != nil {
-		t.Fatalf("masterkey erzeugen: %v", err)
-	}
-	return MasterKey(key)
-}
-
-func createTenant(t *testing.T, pool *pgxpool.Pool, slug string) string {
-	t.Helper()
-	var id string
-	err := pool.QueryRow(context.Background(), `
-		INSERT INTO tenants (slug, name, db_name, db_dsn) VALUES ($1, $1, $1, 'unused') RETURNING id
-	`, slug).Scan(&id)
-	if err != nil {
-		t.Fatalf("tenant anlegen: %v", err)
-	}
-	return id
-}
-
-func uniqueSlug(prefix string) string {
-	return fmt.Sprintf("%s_%d", prefix, time.Now().UnixNano())
-}
-
-// Akzeptanzkriterium 1: LoadMasterKeyFromEnv liest ausschliesslich aus der
-// Umgebungsvariable, niemals aus Code/DB.
-func TestLoadMasterKeyFromEnv(t *testing.T) {
-	const envVar = "NEXARCH_TEST_MASTER_KEY_API10"
-	t.Cleanup(func() { os.Unsetenv(envVar) })
-
-	if _, err := LoadMasterKeyFromEnv(envVar); err == nil {
-		t.Fatal("erwartet fehler, wenn umgebungsvariable nicht gesetzt ist")
-	}
-
-	os.Setenv(envVar, "zu-kurz")
-	if _, err := LoadMasterKeyFromEnv(envVar); err == nil {
-		t.Fatal("erwartet fehler bei ungueltiger laenge")
-	}
-
-	validKey, _ := generateRandomKey()
-	os.Setenv(envVar, base64.StdEncoding.EncodeToString(validKey))
-	loaded, err := LoadMasterKeyFromEnv(envVar)
-	if err != nil {
-		t.Fatalf("laden mit gueltigem key: %v", err)
-	}
-	if !bytes.Equal(loaded, validKey) {
-		t.Fatal("geladener master-key stimmt nicht mit dem gesetzten ueberein")
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung (Isolation): jeder Tenant bekommt einen
-// EIGENEN Tenant-KEK, niemals einen gemeinsamen.
-func TestCreateForTenant_EachTenantGetsDistinctKEK(t *testing.T) {
-	store, pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-	masterKey := newMasterKey(t)
-
-	tenantA := createTenant(t, pool, uniqueSlug("acme"))
-	tenantB := createTenant(t, pool, uniqueSlug("globex"))
-
-	kekA, err := store.CreateForTenant(ctx, tenantA, masterKey)
-	if err != nil {
-		t.Fatalf("create a: %v", err)
-	}
-	kekB, err := store.CreateForTenant(ctx, tenantB, masterKey)
-	if err != nil {
-		t.Fatalf("create b: %v", err)
-	}
-	if bytes.Equal(kekA, kekB) {
-		t.Fatal("erwartet unterschiedliche tenant-keks, habe identische")
-	}
-
-	decryptedA, err := store.GetDecrypted(ctx, tenantA, masterKey)
-	if err != nil {
-		t.Fatalf("decrypt a: %v", err)
-	}
-	if !bytes.Equal(decryptedA, kekA) {
-		t.Fatal("entschluesselter kek stimmt nicht mit dem urspruenglich erzeugten ueberein")
-	}
-}
-
-// Akzeptanzkriterium 3 (Master-Key-Rotation) + Pruefung 1: alle Tenant-KEKs
-// bleiben nach Rotation entschluesselbar, mit UNVERAENDERTEM Plaintext —
-// kein Objekt muesste neu verschluesselt werden.
-func TestRotateMasterKey_AllTenantKEKsRemainDecryptableWithSamePlaintext(t *testing.T) {
-	store, pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-	oldMasterKey := newMasterKey(t)
-
-	tenantA := createTenant(t, pool, uniqueSlug("acme"))
-	tenantB := createTenant(t, pool, uniqueSlug("globex"))
-	kekA, err := store.CreateForTenant(ctx, tenantA, oldMasterKey)
-	if err != nil {
-		t.Fatalf("create a: %v", err)
-	}
-	kekB, err := store.CreateForTenant(ctx, tenantB, oldMasterKey)
-	if err != nil {
-		t.Fatalf("create b: %v", err)
-	}
-
-	newMasterKeyVal := newMasterKey(t)
-	_, failed, err := store.RotateMasterKey(ctx, oldMasterKey, newMasterKeyVal)
-	if err != nil {
-		t.Fatalf("rotatemasterkey: %v", err)
-	}
-	// RotateMasterKey verarbeitet ALLE tenant_keks-Zeilen der (in Tests
-	// geteilten) Datenbank — Zeilen anderer Tests, die unter einem ANDEREN
-	// zufaelligen Master-Key verpackt wurden, schlagen hier ERWARTBAR fehl
-	// (das ist die korrekte Fehler-Isolation von RotateMasterKey, kein Bug).
-	// Relevant ist nur, dass GENAU DIESE beiden Tenants NICHT scheitern.
-	for _, id := range failed {
-		if id == tenantA || id == tenantB {
-			t.Fatalf("tenant %s haette bei der rotation nicht fehlschlagen duerfen", id)
-		}
-	}
-
-	// Entschluesselung mit dem NEUEN master-key liefert EXAKT denselben
-	// tenant-kek-plaintext wie vor der rotation.
-	afterA, err := store.GetDecrypted(ctx, tenantA, newMasterKeyVal)
-	if err != nil {
-		t.Fatalf("decrypt a nach rotation: %v", err)
-	}
-	if !bytes.Equal(afterA, kekA) {
-		t.Fatal("tenant-a-kek-plaintext hat sich durch master-key-rotation veraendert — objektdaten waeren betroffen")
-	}
-	afterB, err := store.GetDecrypted(ctx, tenantB, newMasterKeyVal)
-	if err != nil {
-		t.Fatalf("decrypt b nach rotation: %v", err)
-	}
-	if !bytes.Equal(afterB, kekB) {
-		t.Fatal("tenant-b-kek-plaintext hat sich durch master-key-rotation veraendert")
-	}
-
-	// Der ALTE master-key funktioniert nicht mehr.
-	if _, err := store.GetDecrypted(ctx, tenantA, oldMasterKey); err == nil {
-		t.Fatal("erwartet fehler beim entschluesseln mit dem alten, abgeloesten master-key")
-	}
-}
-
-// Akzeptanzkriterium 3 (Tenant-KEK-Rotation) + Pruefung 2: Rotation fuer
-// EINEN Mandanten aendert dessen KEK, ein ZWEITER Mandant bleibt
-// nachweislich unberuehrt.
-func TestRotateTenantKEK_OnlyAffectsThatTenant(t *testing.T) {
-	store, pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-	masterKey := newMasterKey(t)
-
-	tenantA := createTenant(t, pool, uniqueSlug("acme"))
-	tenantB := createTenant(t, pool, uniqueSlug("globex"))
-	kekABefore, err := store.CreateForTenant(ctx, tenantA, masterKey)
-	if err != nil {
-		t.Fatalf("create a: %v", err)
-	}
-	kekBBefore, err := store.CreateForTenant(ctx, tenantB, masterKey)
-	if err != nil {
-		t.Fatalf("create b: %v", err)
-	}
-
-	kekAAfter, err := store.RotateTenantKEK(ctx, tenantA, masterKey)
-	if err != nil {
-		t.Fatalf("rotatetenantkek: %v", err)
-	}
-	if bytes.Equal(kekAAfter, kekABefore) {
-		t.Fatal("erwartet neuen tenant-kek fuer a nach rotation, habe unveraendert")
-	}
-
-	kekBAfter, err := store.GetDecrypted(ctx, tenantB, masterKey)
-	if err != nil {
-		t.Fatalf("decrypt b nach rotation von a: %v", err)
-	}
-	if !bytes.Equal(kekBAfter, kekBBefore) {
-		t.Fatal("tenant b haette durch die rotation von tenant a NICHT beeinflusst werden duerfen")
-	}
-}
-
-type tenantResolverAdapter struct{ registry *tenant.Registry }
-
-func (a tenantResolverAdapter) ResolveTenantID(ctx context.Context, tenantSlug string) (string, error) {
-	t, err := a.registry.GetBySlug(ctx, tenantSlug)
-	if err != nil {
-		return "", err
-	}
-	return t.ID, nil
-}
-
-// setupHandlerTest baut eine vollstaendige Handler-Umgebung mit ECHTER
-// moduleregistry (API-02) fuer Authentifizierung UND Aktivierungspruefung.
-func setupHandlerTest(t *testing.T) (*Handler, *pgxpool.Pool, *moduleregistry.Registry, string, string) {
-	t.Helper()
-	store, pool, _ := setupTest(t)
-	ctx := context.Background()
-	masterKey := newMasterKey(t)
-
-	flagService := flag.NewService(flag.NewStore(pool), 10*time.Millisecond)
-	moduleRegistry := moduleregistry.NewRegistry(pool, flagService)
-	tenantRegistry := tenant.NewRegistry(pool)
-
-	moduleName := fmt.Sprintf("dms-%d", time.Now().UnixNano())
-	if _, err := moduleRegistry.Register(ctx, moduleName, "1.0.0", nil); err != nil {
-		t.Fatalf("modul registrieren: %v", err)
-	}
-	clientID, secret, err := moduleRegistry.Provision(ctx, moduleName)
-	if err != nil {
-		t.Fatalf("credential provisionieren: %v", err)
-	}
-
-	handler := NewHandler(store, masterKey, moduleRegistry, moduleRegistry, tenantResolverAdapter{tenantRegistry})
-	return handler, pool, moduleRegistry, clientID, secret
-}
-
-// Akzeptanzkriterium 3 / Pruefung 3: Zugriff ohne gueltiges Service-
-// Credential wird abgelehnt.
-func TestTenantKEKHandler_RejectsMissingCredential(t *testing.T) {
-	handler, pool, _, _, _ := setupHandlerTest(t)
-	slug := uniqueSlug("acme")
-	createTenant(t, pool, slug)
-
-	req := httptest.NewRequest(http.MethodGet, "/internal/keys/tenant-kek?tenant="+slug, nil)
-	rec := httptest.NewRecorder()
-	handler.TenantKEKHandler(rec, req)
-
-	if rec.Code != http.StatusForbidden {
-		t.Fatalf("status = %d, want 403 ohne credential", rec.Code)
-	}
-}
-
-// Akzeptanzkriterium 3 / Pruefung 3: Zugriff mit dem Credential eines
-// Moduls, das fuer DIESEN Mandanten NICHT aktiviert ist ("fremder
-// Mandant"), wird abgelehnt.
-func TestTenantKEKHandler_RejectsModuleNotActiveForTenant(t *testing.T) {
-	handler, pool, _, clientID, secret := setupHandlerTest(t)
-	ctx := context.Background()
-	slug := uniqueSlug("fremder_mandant")
-	tenantID := createTenant(t, pool, slug)
-	if _, err := handler.store.CreateForTenant(ctx, tenantID, handler.masterKey); err != nil {
-		t.Fatalf("tenant-kek anlegen: %v", err)
-	}
-	// KEIN Feature-Flag/Aktivierung fuer dieses modul+tenant -> IsActive
-	// liefert false, da das registrierte Modul ohne RequiredFlags zwar
-	// technisch "immer aktiv" waere — daher testen wir hier zusaetzlich mit
-	// einem NICHT existierenden modulnamen ueber ein falsches secret, um
-	// "kein gueltiges credential fuer irgendein aktives modul" nachzubilden.
-	req := httptest.NewRequest(http.MethodGet, "/internal/keys/tenant-kek?tenant="+slug, nil)
-	req.Header.Set("X-Nexarch-Client-Id", clientID)
-	req.Header.Set("X-Nexarch-Client-Secret", "falsches-secret")
-	rec := httptest.NewRecorder()
-	handler.TenantKEKHandler(rec, req)
-
-	if rec.Code != http.StatusForbidden {
-		t.Fatalf("status = %d, want 403 mit ungueltigem secret", rec.Code)
-	}
-	_ = secret
-}
-
-// Positivfall + Akzeptanzkriterium 4: ein authentifiziertes, fuer den
-// Mandanten aktives Modul erhaelt den entschluesselten Tenant-KEK.
-func TestTenantKEKHandler_AllowsActiveModuleForTenant(t *testing.T) {
-	handler, pool, _, clientID, secret := setupHandlerTest(t)
-	ctx := context.Background()
-	slug := uniqueSlug("acme")
-	tenantID := createTenant(t, pool, slug)
-	expectedKEK, err := handler.store.CreateForTenant(ctx, tenantID, handler.masterKey)
-	if err != nil {
-		t.Fatalf("tenant-kek anlegen: %v", err)
-	}
-
-	req := httptest.NewRequest(http.MethodGet, "/internal/keys/tenant-kek?tenant="+slug, nil)
-	req.Header.Set("X-Nexarch-Client-Id", clientID)
-	req.Header.Set("X-Nexarch-Client-Secret", secret)
-	rec := httptest.NewRecorder()
-	handler.TenantKEKHandler(rec, req)
-
-	if rec.Code != http.StatusOK {
-		t.Fatalf("status = %d, want 200, body: %s", rec.Code, rec.Body.String())
-	}
-	if !strings.Contains(rec.Body.String(), "tenant_kek_base64") {
-		t.Fatalf("antwort enthaelt kein tenant_kek_base64-feld: %s", rec.Body.String())
-	}
-	_ = expectedKEK
-	_ = pool
-}

internal/kek/master.go

@@ -1,111 +0,0 @@
-// Package kek implementiert Core API-10: die zweistufige Schluesselhierarchie
-// fuer Envelope-Encryption (Master-KEK -> Tenant-KEK), die DMS (FDN-09) und
-// Mail (ARC-02) fuer ihre pro-Objekt-DEKs verwenden. Core verwaltet
-// AUSSCHLIESSLICH die Hierarchie bis zum Tenant-KEK — DEK-Erzeugung und
-// Objekt-Verschluesselung bleiben modul-lokal (siehe Ticket "Nicht
-// Bestandteil").
-//
-// Sicherheitsmodell: kompromittiert ein Tenant-KEK, betrifft das strukturell
-// nur GENAU DIESEN Mandanten (Fortsetzung der physischen Modell-C-Isolation
-// aus TEN-01 auf Schluesselebene) — bewusst KEIN gemeinsamer globaler
-// Master-Key fuer Objektdaten, siehe "Bewusst vermeiden" im Ticket.
-package kek
-
-import (
-	"crypto/aes"
-	"crypto/cipher"
-	"crypto/rand"
-	"encoding/base64"
-	"errors"
-	"fmt"
-	"io"
-	"os"
-)
-
-// MasterKeySize ist die geforderte Laenge fuer AES-256-GCM.
-const MasterKeySize = 32
-
-var (
-	ErrMasterKeyNotSet    = errors.New("kek: master-key-umgebungsvariable nicht gesetzt")
-	ErrMasterKeyWrongSize = fmt.Errorf("kek: master-key muss genau %d bytes (base64-kodiert) lang sein", MasterKeySize)
-)
-
-// MasterKey ist der Root-KEK. Existiert AUSSCHLIESSLICH im Prozessspeicher,
-// geladen aus einer Umgebungsvariable/einem Secret-Provider — niemals im
-// Code oder in der Datenbank im Klartext (Akzeptanzkriterium 1).
-type MasterKey []byte
-
-// LoadMasterKeyFromEnv liest den Master-Key base64-kodiert aus der
-// angegebenen Umgebungsvariable (Akzeptanzkriterium 1). In einer echten
-// KMS-Anbindung wuerde derselbe Aufrufer stattdessen einen Secret-Provider
-// befragen — die Schnittstelle (MasterKey als []byte) bleibt identisch,
-// nur die Bezugsquelle unterscheidet sich.
-func LoadMasterKeyFromEnv(envVar string) (MasterKey, error) {
-	raw := os.Getenv(envVar)
-	if raw == "" {
-		return nil, ErrMasterKeyNotSet
-	}
-	decoded, err := base64.StdEncoding.DecodeString(raw)
-	if err != nil {
-		return nil, fmt.Errorf("kek: master-key nicht gueltig base64-kodiert: %w", err)
-	}
-	if len(decoded) != MasterKeySize {
-		return nil, ErrMasterKeyWrongSize
-	}
-	return MasterKey(decoded), nil
-}
-
-// generateRandomKey erzeugt einen kryptographisch zufaelligen 32-Byte-
-// Schluessel — verwendet sowohl fuer neu ausgestellte Tenant-KEKs als auch
-// in Tests fuer Master-Keys.
-func generateRandomKey() ([]byte, error) {
-	key := make([]byte, MasterKeySize)
-	if _, err := rand.Read(key); err != nil {
-		return nil, fmt.Errorf("zufallsschluessel erzeugen: %w", err)
-	}
-	return key, nil
-}
-
-// wrap verschluesselt plaintext mit key via AES-256-GCM. Der Nonce wird dem
-// Chiffretext vorangestellt (Standardmuster), damit unwrap ihn ohne
-// separate Speicherung wiederfinden kann.
-func wrap(key, plaintext []byte) ([]byte, error) {
-	block, err := aes.NewCipher(key)
-	if err != nil {
-		return nil, fmt.Errorf("aes-cipher erstellen: %w", err)
-	}
-	gcm, err := cipher.NewGCM(block)
-	if err != nil {
-		return nil, fmt.Errorf("gcm erstellen: %w", err)
-	}
-	nonce := make([]byte, gcm.NonceSize())
-	if _, err := io.ReadFull(rand.Reader, nonce); err != nil {
-		return nil, fmt.Errorf("nonce erzeugen: %w", err)
-	}
-	return gcm.Seal(nonce, nonce, plaintext, nil), nil
-}
-
-// ErrUnwrapFailed wird geliefert, wenn ein verpacktes Geheimnis nicht mit
-// dem gegebenen Schluessel entschluesselt werden kann (falscher/veralteter
-// Schluessel oder manipulierte Daten).
-var ErrUnwrapFailed = errors.New("kek: entpacken fehlgeschlagen (falscher schluessel oder manipulierte daten)")
-
-func unwrap(key, wrapped []byte) ([]byte, error) {
-	block, err := aes.NewCipher(key)
-	if err != nil {
-		return nil, fmt.Errorf("aes-cipher erstellen: %w", err)
-	}
-	gcm, err := cipher.NewGCM(block)
-	if err != nil {
-		return nil, fmt.Errorf("gcm erstellen: %w", err)
-	}
-	if len(wrapped) < gcm.NonceSize() {
-		return nil, ErrUnwrapFailed
-	}
-	nonce, ciphertext := wrapped[:gcm.NonceSize()], wrapped[gcm.NonceSize():]
-	plaintext, err := gcm.Open(nil, nonce, ciphertext, nil)
-	if err != nil {
-		return nil, ErrUnwrapFailed
-	}
-	return plaintext, nil
-}

internal/kek/store.go

@@ -1,144 +0,0 @@
-package kek
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-var ErrNoTenantKEK = errors.New("kek: kein tenant-kek fuer diesen mandanten hinterlegt")
-
-// Store persistiert AUSSCHLIESSLICH verpackte (mit dem Master-Key
-// verschluesselte) Tenant-KEKs in der Control-Plane-Registry (dieselbe
-// Datenbank wie internal/tenant.Registry, TEN-01 — ein eigener,
-// unabhaengiger Store, um TEN-01 nicht um schluesselfremde Belange zu
-// erweitern, demselben Muster wie internal/license.Store).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// CreateForTenant erzeugt einen NEUEN, zufaelligen Tenant-KEK und speichert
-// ihn mit dem Master-Key verpackt (Akzeptanzkriterium 2: JEDER Tenant
-// erhaelt einen EIGENEN Schluessel, niemals ein gemeinsamer). Wird von der
-// Tenant-Provisionierung (TEN-01) aufgerufen — komponiert davor/danach,
-// OHNE internal/tenant.Provisioner selbst zu aendern (Kein Umbau
-// angrenzender Bereiche, dasselbe Kompositionsmuster wie TEN-02s
-// OnboardingService um Provisioner).
-func (s *Store) CreateForTenant(ctx context.Context, tenantID string, masterKey MasterKey) ([]byte, error) {
-	plainKEK, err := generateRandomKey()
-	if err != nil {
-		return nil, err
-	}
-	wrapped, err := wrap(masterKey, plainKEK)
-	if err != nil {
-		return nil, fmt.Errorf("tenant-kek verpacken: %w", err)
-	}
-
-	if _, err := s.pool.Exec(ctx, `
-		INSERT INTO tenant_keks (tenant_id, wrapped_kek) VALUES ($1, $2)
-	`, tenantID, wrapped); err != nil {
-		return nil, fmt.Errorf("tenant-kek speichern: %w", err)
-	}
-	return plainKEK, nil
-}
-
-// GetDecrypted liefert den ENTSCHLUESSELTEN Tenant-KEK eines Mandanten —
-// wird von Core intern (z.B. fuer den HTTP-Handler in handler.go) sowie in
-// Tests verwendet.
-func (s *Store) GetDecrypted(ctx context.Context, tenantID string, masterKey MasterKey) ([]byte, error) {
-	var wrapped []byte
-	err := s.pool.QueryRow(ctx, `SELECT wrapped_kek FROM tenant_keks WHERE tenant_id = $1`, tenantID).Scan(&wrapped)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return nil, ErrNoTenantKEK
-		}
-		return nil, fmt.Errorf("tenant-kek lesen: %w", err)
-	}
-	return unwrap(masterKey, wrapped)
-}
-
-// RotateTenantKEK ersetzt den Tenant-KEK EINES Mandanten durch einen NEUEN,
-// zufaelligen Wert (Akzeptanzkriterium 3: Tenant-KEK-Rotation betrifft
-// ausschliesslich diesen einen Mandanten). Die eigentliche Neu-Verpackung
-// der Objekt-DEKs mit dem neuen Tenant-KEK ist Sache von DMS/Mail (siehe
-// "Nicht Bestandteil") — Core liefert nur den neuen Schluessel.
-func (s *Store) RotateTenantKEK(ctx context.Context, tenantID string, masterKey MasterKey) ([]byte, error) {
-	newPlainKEK, err := generateRandomKey()
-	if err != nil {
-		return nil, err
-	}
-	wrapped, err := wrap(masterKey, newPlainKEK)
-	if err != nil {
-		return nil, fmt.Errorf("neuen tenant-kek verpacken: %w", err)
-	}
-
-	tag, err := s.pool.Exec(ctx, `
-		UPDATE tenant_keks SET wrapped_kek = $2, rotated_at = now() WHERE tenant_id = $1
-	`, tenantID, wrapped)
-	if err != nil {
-		return nil, fmt.Errorf("tenant-kek rotieren: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return nil, ErrNoTenantKEK
-	}
-	return newPlainKEK, nil
-}
-
-// RotateMasterKey verpackt die Tenant-KEKs ALLER Mandanten von oldKey auf
-// newKey um — der PLAINTEXT jedes Tenant-KEK bleibt dabei UNVERAENDERT
-// (Akzeptanzkriterium 3: Master-Key-Rotation erfordert keine
-// Neuverschluesselung der Objektdaten, weil die Tenant-KEKs selbst gleich
-// bleiben, nur ihre Verpackung wechselt). Bricht die Verarbeitung bei einem
-// einzelnen defekten Datensatz NICHT komplett ab, sondern meldet, welche
-// Tenants betroffen waren.
-func (s *Store) RotateMasterKey(ctx context.Context, oldKey, newKey MasterKey) (rotated int, failedTenantIDs []string, err error) {
-	rows, err := s.pool.Query(ctx, `SELECT tenant_id, wrapped_kek FROM tenant_keks`)
-	if err != nil {
-		return 0, nil, fmt.Errorf("tenant-keks auflisten: %w", err)
-	}
-	type row struct {
-		tenantID string
-		wrapped  []byte
-	}
-	var all []row
-	for rows.Next() {
-		var r row
-		if err := rows.Scan(&r.tenantID, &r.wrapped); err != nil {
-			rows.Close()
-			return 0, nil, fmt.Errorf("tenant-kek-zeile lesen: %w", err)
-		}
-		all = append(all, r)
-	}
-	rows.Close()
-	if err := rows.Err(); err != nil {
-		return 0, nil, err
-	}
-
-	for _, r := range all {
-		plainKEK, err := unwrap(oldKey, r.wrapped)
-		if err != nil {
-			failedTenantIDs = append(failedTenantIDs, r.tenantID)
-			continue
-		}
-		rewrapped, err := wrap(newKey, plainKEK)
-		if err != nil {
-			failedTenantIDs = append(failedTenantIDs, r.tenantID)
-			continue
-		}
-		if _, err := s.pool.Exec(ctx, `
-			UPDATE tenant_keks SET wrapped_kek = $2, rotated_at = now() WHERE tenant_id = $1
-		`, r.tenantID, rewrapped); err != nil {
-			failedTenantIDs = append(failedTenantIDs, r.tenantID)
-			continue
-		}
-		rotated++
-	}
-	return rotated, failedTenantIDs, nil
-}

internal/metrics/core.go

@@ -0,0 +1,19 @@
+package metrics
+
+import "github.com/prometheus/client_golang/prometheus"
+
+// NewCoreRegistry liefert das Prometheus-Registry fuer die EIGENEN
+// Kennzahlen des Core-Dienstes (Akzeptanzkriterium 1) — alle Namen tragen
+// das Praefix "nexarch_core_" gemaess der im Paketkommentar dokumentierten
+// Namenskonvention (Akzeptanzkriterium 3). Ein eigenes Registry statt des
+// globalen DefaultRegisterer, damit Tests unabhaengig voneinander sind.
+func NewCoreRegistry() *prometheus.Registry {
+	reg := prometheus.NewRegistry()
+	reg.MustRegister(
+		prometheus.NewGaugeFunc(prometheus.GaugeOpts{
+			Name: "nexarch_core_up",
+			Help: "1, solange der Core-Dienst laeuft und Metriken liefern kann.",
+		}, func() float64 { return 1 }),
+	)
+	return reg
+}

internal/metrics/metrics.go

@@ -0,0 +1,168 @@
+// Package metrics implementiert Core OPS-03: einen zentralen /metrics-
+// Endpunkt im Prometheus-Textformat, der Kennzahlen des Core-Dienstes UND
+// aggregierte Kennzahlen aller registrierten Module bereitstellt — offenes
+// Pull-Modell nach Prometheus-Vorbild, kein proprietaerer Push-Mechanismus.
+//
+// Namenskonvention (Akzeptanzkriterium 3, modulübergreifend konsistent):
+//
+//	nexarch_core_<name>            — Kennzahlen des Core-Dienstes selbst
+//	nexarch_module_<modul>_<name>  — von einem Modul gescrapte Kennzahl
+//	                                  <name>, umbenannt mit dem
+//	                                  Modulnamen als Praefix
+//
+// Ein Modul liefert seine eigenen Kennzahlen unter EIGENEM Namen (z.B.
+// "requests_total") unter seinem eigenen /metrics-Endpunkt — dieses Paket
+// benennt sie beim Einsammeln konsistent um, damit im aggregierten Core-
+// Endpunkt niemals zwei Module denselben Metrik-Namen kollidieren lassen.
+package metrics
+
+import (
+	"context"
+	"fmt"
+	"net/http"
+	"time"
+
+	"github.com/prometheus/client_golang/prometheus"
+	dto "github.com/prometheus/client_model/go"
+	"github.com/prometheus/common/expfmt"
+	"github.com/prometheus/common/model"
+)
+
+// init erzwingt das klassische Prometheus-Namensschema (a-z, A-Z, 0-9, _)
+// fuer die Namensvalidierung von expfmt/model — ohne diese explizite
+// Festlegung liefert die Bibliothek "Invalid name validation scheme
+// requested: unset" beim Parsen/Kodieren, da sie den globalen Default in
+// dieser Version nicht mehr implizit setzt.
+func init() {
+	model.NameValidationScheme = model.LegacyValidation
+}
+
+// Source ist EIN registriertes Modul mit seinem eigenen /metrics-Endpunkt
+// (siehe internal/health fuer das analoge Muster bei Readiness-Checks).
+type Source struct {
+	ModuleName string
+	MetricsURL string
+}
+
+// SourceProvider liefert die aktuell registrierten Module — typischerweise
+// rueckgebunden an internal/moduleregistry.Registry.List (API-02) ueber
+// einen kleinen Adapter im aufrufenden Code, damit dieses Paket
+// internal/moduleregistry nicht direkt importieren muss (Kein Umbau
+// angrenzender Bereiche). Ein NEU registriertes Modul erscheint automatisch
+// beim naechsten Aufruf von Aggregator.Handler, OHNE Codeaenderung an diesem
+// Paket (Akzeptanzkriterium 2 / Pruefung 2).
+type SourceProvider func(ctx context.Context) ([]Source, error)
+
+// FetchTimeout begrenzt, wie lange EIN Modul-Scrape maximal dauern darf —
+// ein haengendes Modul darf den gesamten Aggregations-Request nicht
+// verzoegern (Pruefung 1: Antwort unter Last innerhalb definierter Zeit).
+const FetchTimeout = 2 * time.Second
+
+// Aggregator sammelt Core-eigene Metriken (coreGatherer) und die Metriken
+// aller ueber sourceProvider gemeldeten Module in EINER Antwort ein.
+type Aggregator struct {
+	coreGatherer   prometheus.Gatherer
+	sourceProvider SourceProvider
+	client         *http.Client
+}
+
+func NewAggregator(coreGatherer prometheus.Gatherer, sourceProvider SourceProvider) *Aggregator {
+	return &Aggregator{
+		coreGatherer:   coreGatherer,
+		sourceProvider: sourceProvider,
+		client:         &http.Client{Timeout: FetchTimeout},
+	}
+}
+
+// Gather implementiert prometheus.Gatherer: liefert Core-Metriken PLUS alle
+// erreichbaren Modul-Metriken (umbenannt gemaess Namenskonvention) in einer
+// gemeinsamen Liste von MetricFamilies.
+func (a *Aggregator) Gather(ctx context.Context) ([]*dto.MetricFamily, error) {
+	families, err := a.coreGatherer.Gather()
+	if err != nil {
+		return nil, fmt.Errorf("core-metriken einsammeln: %w", err)
+	}
+
+	sources, err := a.sourceProvider(ctx)
+	if err != nil {
+		return nil, fmt.Errorf("modul-quellen ermitteln: %w", err)
+	}
+
+	// Module werden NEBENLAEUFIG gescrapt (dasselbe Muster wie
+	// internal/health.Registry.CheckAll) — ein langsames/nicht erreichbares
+	// Modul haelt weder andere Module noch den Gesamt-Request auf.
+	type fetchResult struct {
+		families []*dto.MetricFamily
+	}
+	resultCh := make(chan fetchResult, len(sources))
+	for _, src := range sources {
+		go func(src Source) {
+			fetchCtx, cancel := context.WithTimeout(ctx, FetchTimeout)
+			defer cancel()
+			mf, err := a.fetchAndRename(fetchCtx, src)
+			if err != nil {
+				resultCh <- fetchResult{} // Fehlerfall: einfach nichts beitragen, Aggregation laeuft weiter
+				return
+			}
+			resultCh <- fetchResult{families: mf}
+		}(src)
+	}
+	for range sources {
+		r := <-resultCh
+		families = append(families, r.families...)
+	}
+
+	return families, nil
+}
+
+// fetchAndRename ruft die /metrics-URL eines Moduls ab, parst das
+// Prometheus-Textformat und benennt jede Metrik gemaess der
+// Namenskonvention um (Akzeptanzkriterium 2 + 3).
+func (a *Aggregator) fetchAndRename(ctx context.Context, src Source) ([]*dto.MetricFamily, error) {
+	req, err := http.NewRequestWithContext(ctx, http.MethodGet, src.MetricsURL, nil)
+	if err != nil {
+		return nil, err
+	}
+	resp, err := a.client.Do(req)
+	if err != nil {
+		return nil, err
+	}
+	defer resp.Body.Close()
+	if resp.StatusCode != http.StatusOK {
+		return nil, fmt.Errorf("modul %s: unerwarteter status %d", src.ModuleName, resp.StatusCode)
+	}
+
+	parser := expfmt.NewTextParser(model.LegacyValidation)
+	parsed, err := parser.TextToMetricFamilies(resp.Body)
+	if err != nil {
+		return nil, fmt.Errorf("modul %s: metrik-text nicht parsebar: %w", src.ModuleName, err)
+	}
+
+	out := make([]*dto.MetricFamily, 0, len(parsed))
+	for name, mf := range parsed {
+		renamed := fmt.Sprintf("nexarch_module_%s_%s", src.ModuleName, name)
+		mf.Name = &renamed
+		out = append(out, mf)
+	}
+	return out, nil
+}
+
+// Handler liefert einen HTTP-Handler, der Gather aufruft und das Ergebnis im
+// Prometheus-Textformat ausgibt (Akzeptanzkriterium 1).
+func (a *Aggregator) Handler() http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		families, err := a.Gather(r.Context())
+		if err != nil {
+			http.Error(w, "metriken konnten nicht eingesammelt werden", http.StatusInternalServerError)
+			return
+		}
+
+		w.Header().Set("Content-Type", string(expfmt.NewFormat(expfmt.TypeTextPlain)))
+		enc := expfmt.NewEncoder(w, expfmt.NewFormat(expfmt.TypeTextPlain))
+		for _, mf := range families {
+			if err := enc.Encode(mf); err != nil {
+				return
+			}
+		}
+	}
+}

internal/metrics/metrics_test.go

@@ -0,0 +1,179 @@
+package metrics
+
+import (
+	"context"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"sync"
+	"testing"
+	"time"
+
+	"github.com/prometheus/common/expfmt"
+	"github.com/prometheus/common/model"
+)
+
+func fakeModuleServer(metricName string) *httptest.Server {
+	return httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		w.Header().Set("Content-Type", "text/plain; version=0.0.4")
+		fmt.Fprintf(w, "# HELP %s ein test-zaehler\n# TYPE %s counter\n%s 42\n", metricName, metricName, metricName)
+	}))
+}
+
+// Akzeptanzkriterium 1: Core liefert unter dem Handler valides
+// Prometheus-Textformat mit den eigenen Kennzahlen.
+func TestHandler_ServesCoreMetricsInPrometheusFormat(t *testing.T) {
+	agg := NewAggregator(NewCoreRegistry(), func(ctx context.Context) ([]Source, error) { return nil, nil })
+
+	req := httptest.NewRequest(http.MethodGet, "/metrics", nil)
+	rec := httptest.NewRecorder()
+	agg.Handler()(rec, req)
+
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rec.Code)
+	}
+
+	parser := expfmt.NewTextParser(model.LegacyValidation)
+	families, err := parser.TextToMetricFamilies(strings.NewReader(rec.Body.String()))
+	if err != nil {
+		t.Fatalf("antwort ist kein valides prometheus-textformat: %v", err)
+	}
+	if _, ok := families["nexarch_core_up"]; !ok {
+		t.Fatalf("erwartet 'nexarch_core_up' unter den core-metriken, habe: %v", keysOf(families))
+	}
+}
+
+func keysOf[V any](m map[string]V) []string {
+	out := make([]string, 0, len(m))
+	for k := range m {
+		out = append(out, k)
+	}
+	return out
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2: ein NEU registriertes Modul erscheint
+// in der Aggregation, OHNE dass dieses Paket oder der Aufrufer Code
+// aendern muss — die Quelle kommt ausschliesslich aus sourceProvider.
+func TestHandler_NewlyRegisteredModuleAppearsWithoutCodeChange(t *testing.T) {
+	moduleServer := fakeModuleServer("requests_total")
+	defer moduleServer.Close()
+
+	// Simuliert eine sich zur Laufzeit aendernde Modul-Liste (z.B. aus
+	// SourceStore.Provide) — zunaechst LEER, dann mit einem Eintrag.
+	var sources []Source
+	var mu sync.Mutex
+	provider := func(ctx context.Context) ([]Source, error) {
+		mu.Lock()
+		defer mu.Unlock()
+		out := make([]Source, len(sources))
+		copy(out, sources)
+		return out, nil
+	}
+
+	agg := NewAggregator(NewCoreRegistry(), provider)
+
+	// Vor der Registrierung: Modul-Metrik nicht vorhanden.
+	rec1 := httptest.NewRecorder()
+	agg.Handler()(rec1, httptest.NewRequest(http.MethodGet, "/metrics", nil))
+	if strings.Contains(rec1.Body.String(), "requests_total") {
+		t.Fatal("modul-metrik haette vor registrierung nicht erscheinen duerfen")
+	}
+
+	// Modul wird "registriert" (kein Code hier oder in metrics.go aendert sich).
+	mu.Lock()
+	sources = append(sources, Source{ModuleName: "dms", MetricsURL: moduleServer.URL})
+	mu.Unlock()
+
+	rec2 := httptest.NewRecorder()
+	agg.Handler()(rec2, httptest.NewRequest(http.MethodGet, "/metrics", nil))
+	body := rec2.Body.String()
+	if !strings.Contains(body, "nexarch_module_dms_requests_total") {
+		t.Fatalf("erwartet umbenannte modul-metrik 'nexarch_module_dms_requests_total' nach registrierung, body:\n%s", body)
+	}
+}
+
+// Akzeptanzkriterium 3: Namenskonvention "nexarch_module_<modul>_<name>"
+// wird tatsaechlich angewendet.
+func TestFetchAndRename_AppliesNamingConvention(t *testing.T) {
+	moduleServer := fakeModuleServer("queue_depth")
+	defer moduleServer.Close()
+
+	agg := NewAggregator(NewCoreRegistry(), nil)
+	families, err := agg.fetchAndRename(context.Background(), Source{ModuleName: "mail", MetricsURL: moduleServer.URL})
+	if err != nil {
+		t.Fatalf("fetchAndRename: %v", err)
+	}
+	if len(families) != 1 || families[0].GetName() != "nexarch_module_mail_queue_depth" {
+		t.Fatalf("erwartet genau 1 metrik 'nexarch_module_mail_queue_depth', habe: %+v", families)
+	}
+}
+
+// Ein nicht erreichbares Modul darf die Aggregation der uebrigen und die
+// Gesamtantwort nicht verhindern (dieselbe Resilienz wie OPS-02).
+func TestHandler_UnreachableModuleDoesNotBreakAggregation(t *testing.T) {
+	reachable := fakeModuleServer("healthy_metric")
+	defer reachable.Close()
+	unreachable := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {}))
+	unreachableURL := unreachable.URL
+	unreachable.Close() // sofort schliessen -> Verbindung schlaegt fehl
+
+	provider := func(ctx context.Context) ([]Source, error) {
+		return []Source{
+			{ModuleName: "ok", MetricsURL: reachable.URL},
+			{ModuleName: "kaputt", MetricsURL: unreachableURL},
+		}, nil
+	}
+	agg := NewAggregator(NewCoreRegistry(), provider)
+
+	rec := httptest.NewRecorder()
+	agg.Handler()(rec, httptest.NewRequest(http.MethodGet, "/metrics", nil))
+
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200 trotz einem nicht erreichbaren modul", rec.Code)
+	}
+	body := rec.Body.String()
+	if !strings.Contains(body, "nexarch_module_ok_healthy_metric") {
+		t.Fatal("erreichbares modul haette trotz ausfall des anderen aggregiert werden sollen")
+	}
+	if strings.Contains(body, "kaputt") {
+		t.Fatal("nicht erreichbares modul haette keine metrik beitragen duerfen")
+	}
+}
+
+// Pruefung 1: Endpunkt antwortet unter mehreren gleichzeitigen Anfragen
+// innerhalb definierter Zeit — kein unbeschraenktes Blockieren durch
+// langsame Module (FetchTimeout begrenzt jeden Scrape).
+func TestHandler_RespondsWithinBoundedTimeUnderLoad(t *testing.T) {
+	hangingServer := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		time.Sleep(10 * time.Second) // wuerde ohne timeout jede anfrage blockieren
+	}))
+	defer hangingServer.Close()
+
+	provider := func(ctx context.Context) ([]Source, error) {
+		return []Source{{ModuleName: "haengend", MetricsURL: hangingServer.URL}}, nil
+	}
+	agg := NewAggregator(NewCoreRegistry(), provider)
+
+	const concurrentRequests = 10
+	var wg sync.WaitGroup
+	start := time.Now()
+	for i := 0; i < concurrentRequests; i++ {
+		wg.Add(1)
+		go func() {
+			defer wg.Done()
+			rec := httptest.NewRecorder()
+			agg.Handler()(rec, httptest.NewRequest(http.MethodGet, "/metrics", nil))
+			if rec.Code != http.StatusOK {
+				t.Errorf("status = %d, want 200", rec.Code)
+			}
+		}()
+	}
+	wg.Wait()
+	elapsed := time.Since(start)
+
+	if elapsed > FetchTimeout+3*time.Second {
+		t.Fatalf("%d gleichzeitige anfragen brauchten %s, erwartet deutlich unter %s durch FetchTimeout",
+			concurrentRequests, elapsed, FetchTimeout+3*time.Second)
+	}
+}

internal/metrics/sources.go

@@ -0,0 +1,52 @@
+package metrics
+
+import (
+	"context"
+	"fmt"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// SourceStore persistiert, welche Module ihre Metriken unter welcher URL
+// bereitstellen — dieselbe Postgres-basierte "kein Code-Deploy noetig"-
+// Konvention wie internal/statuspage.Store.RegisterTarget (OPS-02): ein neu
+// registriertes Modul erscheint automatisch in der Aggregation, sobald es
+// hier eingetragen ist (Akzeptanzkriterium 2 / Pruefung 2).
+type SourceStore struct {
+	pool *pgxpool.Pool
+}
+
+func NewSourceStore(pool *pgxpool.Pool) *SourceStore {
+	return &SourceStore{pool: pool}
+}
+
+func (s *SourceStore) RegisterSource(ctx context.Context, moduleName, metricsURL string) error {
+	_, err := s.pool.Exec(ctx, `
+		INSERT INTO metrics_sources (module_name, metrics_url)
+		VALUES ($1, $2)
+		ON CONFLICT (module_name) DO UPDATE SET metrics_url = $2
+	`, moduleName, metricsURL)
+	if err != nil {
+		return fmt.Errorf("metrik-quelle speichern: %w", err)
+	}
+	return nil
+}
+
+// Provide implementiert SourceProvider direkt aus der Datenbank.
+func (s *SourceStore) Provide(ctx context.Context) ([]Source, error) {
+	rows, err := s.pool.Query(ctx, `SELECT module_name, metrics_url FROM metrics_sources ORDER BY module_name`)
+	if err != nil {
+		return nil, fmt.Errorf("metrik-quellen auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Source
+	for rows.Next() {
+		var src Source
+		if err := rows.Scan(&src.ModuleName, &src.MetricsURL); err != nil {
+			return nil, fmt.Errorf("metrik-quelle lesen: %w", err)
+		}
+		out = append(out, src)
+	}
+	return out, rows.Err()
+}

internal/metrics/sources_test.go

@@ -0,0 +1,60 @@
+package metrics
+
+import (
+	"context"
+	"fmt"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func setupSourceStoreTest(t *testing.T) (*SourceStore, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS metrics_sources (module_name TEXT PRIMARY KEY, metrics_url TEXT NOT NULL)
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	cleanup := func() { pool.Close() }
+	return NewSourceStore(pool), cleanup
+}
+
+// Akzeptanzkriterium 2 / Pruefung 2 auf Persistenz-Ebene: eine ueber die
+// Datenbank registrierte Quelle ist sofort ueber Provide() sichtbar — genau
+// der Mechanismus, der ein neues Modul ohne Core-Codeaenderung erscheinen
+// laesst.
+func TestSourceStore_RegisterSourceAppearsInProvide(t *testing.T) {
+	store, cleanup := setupSourceStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := fmt.Sprintf("modul-%d", time.Now().UnixNano())
+
+	if err := store.RegisterSource(ctx, name, "http://example.invalid/metrics"); err != nil {
+		t.Fatalf("registersource: %v", err)
+	}
+
+	sources, err := store.Provide(ctx)
+	if err != nil {
+		t.Fatalf("provide: %v", err)
+	}
+	found := false
+	for _, s := range sources {
+		if s.ModuleName == name {
+			found = true
+		}
+	}
+	if !found {
+		t.Fatalf("erwartet %s in provide()-ergebnis, habe: %+v", name, sources)
+	}
+}

migrations/0006_metrics_sources.down.sql

@@ -0,0 +1 @@
+DROP TABLE metrics_sources;

migrations/0006_metrics_sources.up.sql

@@ -0,0 +1,7 @@
+-- Metrics-Aggregation ueber Module hinweg (OPS-03, siehe
+-- core-kanban/tickets/OPS-03.md) — welches Modul liefert seine Kennzahlen
+-- unter welcher /metrics-URL.
+CREATE TABLE metrics_sources (
+    module_name TEXT PRIMARY KEY,
+    metrics_url TEXT NOT NULL
+);

migrations/0006_tenant_keks.down.sql

@@ -1 +0,0 @@
-DROP TABLE tenant_keks;

migrations/0006_tenant_keks.up.sql

@@ -1,10 +0,0 @@
--- Master-Key-Verwaltung & Tenant-Schluesselhierarchie (API-10, siehe
--- core-kanban/tickets/API-10.md) — EIN verpackter (mit dem Master-Key
--- umhuellter) Tenant-KEK je Mandant. Niemals der Master-Key selbst und
--- niemals ein Tenant-KEK im Klartext in dieser Tabelle.
-CREATE TABLE tenant_keks (
-    tenant_id    UUID PRIMARY KEY REFERENCES tenants(id),
-    wrapped_kek  BYTEA NOT NULL,
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    rotated_at   TIMESTAMPTZ
-);

scripts/reset-test-env.sh

@@ -1,23 +1,11 @@
 #!/usr/bin/env bash
-# Setzt die nexarch-Testumgebung zurueck: loescht die geteilte
-# Registry-Tabelle "tenants" in der postgres-Wartungsdatenbank sowie alle
-# tenant_*-Datenbanken. Noetig, weil verschiedene Feature-Branches
-# unterschiedliche Registry-Schemata erwarten, aber dieselbe physische
-# Postgres-Instanz auf dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
-#
-# Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/reset-test-env.sh
 set -euo pipefail
-
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
 ROLE="nexarch_test"
-
 export PGPASSWORD="$PASS"
-
 psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS tenants CASCADE;"
-
 dbs=$(psql -h localhost -U "$ROLE" -d postgres -tAc "SELECT datname FROM pg_database WHERE datname LIKE 'tenant\_%' ESCAPE '\'")
 for db in $dbs; do
 	psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP DATABASE IF EXISTS \"${db}\";"
 done
-
 echo "Testumgebung zurueckgesetzt: registry-tabelle + $(echo "$dbs" | grep -c . || true) tenant-datenbank(en) entfernt."

scripts/run-checks.sh

@@ -1,24 +1,12 @@
 #!/usr/bin/env bash
-# Ein-Kommando-Pruefung fuer den aktuellen Code-Stand auf dem Testhost:
-# Registry+Tenant-DBs zuruecksetzen, dann build/vet/test in einem Rutsch.
-# -p 1 ist Pflicht, da mehrere Pakete dieselbe physische Registry-Tabelle auf
-# dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
-#
-# Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/run-checks.sh
 set -euo pipefail
-
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
 cd "$(dirname "$0")/.."
-
 NEXARCH_TEST_DB_PASSWORD="$PASS" bash scripts/reset-test-env.sh
-
 export TEST_ADMIN_DSN="postgresql://nexarch_test:${PASS}@localhost:5432/postgres?sslmode=disable"
-
 echo "== go build =="
 go build ./...
-
 echo "== go vet =="
 go vet ./...
-
 echo "== go test (-p 1) =="
 go test ./... -p 1 -count=1