RET-07: fristablauf-benachrichtigungen

- archive/internal/notifyclient: HTTP-Client fuer Core CFG-05 (gleiches
  Muster wie rbacclient/RET-08 fuer RBAC-06)
- archive/internal/retentionnotify.Run: ermittelt faellige Objekte ueber
  dieselbe Funktion wie RET-02-Job/RET-06-API-Preview, filtert je
  Klasse nach Vorlauf+Ein-Aus-Schalter, Postgres-persistente Dedupe
  (retention_notifications), Fehlschlag wird protokolliert statt
  verworfen (kein Eintrag -> Retry beim naechsten Durchlauf)
- archive/cmd/retention-notify-job: systemd-Timer-CLI, analog scrub-cli
- Abweichung vom urspruenglichen Ticket-Text dokumentiert: CFG-05 statt
  direktem CFG-02-Import (Modul-Trennung), konfigurierte zustaendige
  Rolle statt Objekt-Owner (RET-01 fuehrt keinen)
- real deployed auf 131 (timer taeglich 07:00 UTC), end-zu-ende
  bewiesen: echte notification_jobs-Zeile in Core-DB, zweiter
  Dienststart ohne Doppelversand

Pruefungen siehe archive/docs/RET-07-PRUEFPROTOKOLL.md

.gitignore

@@ -1,2 +1,4 @@
 *.log
 .env
+web/*/node_modules/
+web/*/.next/

DEVLOG.md

@@ -44,3 +44,41 @@ Keine Commits in dieser Session.
 Keine Änderungen ermittelbar.
 
 ---
+## 2026-08-28 21:44 – 21:44 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** nexarch
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- web/shl/README.md                   | 45 +++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/__tests__/Dialog.test.tsx   | 38 ++++++++++++++++++++++++++++++++++++++
+- web/shl/__tests__/tokens.test.ts    | 39 +++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Dialog.tsx       | 88 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/FormElements.tsx | 98 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Shell.tsx        | 62 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Table.tsx        | 83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Toast.tsx        | 67 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/i18n/i18n.tsx               | 75 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/index.ts                    | 25 +++++++++++++++++++++++++
+- web/shl/package.json                | 23 +++++++++++++++++++++++
+- web/shl/theme/ThemeProvider.tsx     | 81 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/tokens/tokens.ts            | 96 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/tsconfig.json               | 18 ++++++++++++++++++
+
+---
+## 2026-08-28 21:51 – 21:57 (5m)
+**Beschreibung:** Claude Code Session
+**Projekt:** nexarch
+
+### Commits
+- 3c226da SHL-01: fix — vitest jsdom-environment + jest-dom-Setup (3 Dialog-Tests schlugen ohne DOM fehl)
+
+### Geänderte Dateien
+- web/shl/package.json     | 2 ++
+- web/shl/vitest.config.ts | 8 ++++++++
+- web/shl/vitest.setup.ts  | 1 +
+
+---

archive/cmd/backup-cli/main.go

@@ -36,6 +36,16 @@ func loadConfig() backup.Config {
 	return cfg
 }
 
+func envInt(name string, def int) int {
+	v := os.Getenv(name)
+	if v == "" {
+		return def
+	}
+	n := def
+	_, _ = fmt.Sscanf(v, "%d", &n)
+	return n
+}
+
 func latestManifest(backupDir string) (string, error) {
 	generations, err := backup.ListGenerations(backupDir)
 	if err != nil {
@@ -91,6 +101,23 @@ func main() {
 		fmt.Printf("inkrementelle sicherung %q erstellt und verifiziert: %s\n", incID, newManifest)
 
 	case "rotate":
+		// BAK-07: gestaffelte Aufbewahrungsfrist (KeepDaily/Weekly/Monthly),
+		// falls konfiguriert - ersetzt die flache "letzte N"-Regel
+		// (NEXARCH_BACKUP_KEEP_GENERATIONS), bleibt aber abwaertskompatibel,
+		// wenn keine Staffelung gesetzt ist.
+		policy := backup.RetentionPolicy{
+			KeepDaily:   envInt("NEXARCH_BACKUP_KEEP_DAILY", 0),
+			KeepWeekly:  envInt("NEXARCH_BACKUP_KEEP_WEEKLY", 0),
+			KeepMonthly: envInt("NEXARCH_BACKUP_KEEP_MONTHLY", 0),
+		}
+		if policy.KeepDaily > 0 || policy.KeepWeekly > 0 || policy.KeepMonthly > 0 {
+			removed, err := backup.PruneRotate(cfg.BackupDir, policy)
+			if err != nil {
+				log.Fatalf("gestaffelte rotation fehlgeschlagen: %v", err)
+			}
+			fmt.Printf("gestaffelte rotation abgeschlossen, %d generation(en) entfernt: %v\n", len(removed), removed)
+			return
+		}
 		keep := 7
 		if v := os.Getenv("NEXARCH_BACKUP_KEEP_GENERATIONS"); v != "" {
 			_, _ = fmt.Sscanf(v, "%d", &keep)

archive/cmd/objectbackup-cli/main.go

@@ -25,6 +25,17 @@ func loadConfig() objectbackup.Config {
 	return cfg
 }
 
+func envInt(name string, def int) int {
+	v := os.Getenv(name)
+	if v == "" {
+		return def
+	}
+	if n, err := strconv.Atoi(v); err == nil {
+		return n
+	}
+	return def
+}
+
 func main() {
 	if len(os.Args) < 2 {
 		log.Fatal("aufruf: objectbackup-cli <backup <quellverzeichnis>|check|rotate>")
@@ -58,6 +69,20 @@ func main() {
 		fmt.Println("verifikation (mit vollstaendigem lesen) erfolgreich")
 
 	case "rotate":
+		// BAK-07: gestaffelte Aufbewahrungsfrist, falls konfiguriert -
+		// ersetzt die flache "letzte N"-Regel, bleibt abwaertskompatibel.
+		policy := objectbackup.RetentionPolicy{
+			KeepDaily:   envInt("NEXARCH_OBJECTBACKUP_KEEP_DAILY", 0),
+			KeepWeekly:  envInt("NEXARCH_OBJECTBACKUP_KEEP_WEEKLY", 0),
+			KeepMonthly: envInt("NEXARCH_OBJECTBACKUP_KEEP_MONTHLY", 0),
+		}
+		if policy.KeepDaily > 0 || policy.KeepWeekly > 0 || policy.KeepMonthly > 0 {
+			if err := objectbackup.PruneTiered(ctx, cfg, policy); err != nil {
+				log.Fatalf("gestaffelte rotation fehlgeschlagen: %v", err)
+			}
+			fmt.Println("gestaffelte rotation abgeschlossen")
+			return
+		}
 		keep := 7
 		if v := os.Getenv("NEXARCH_OBJECTBACKUP_KEEP_SNAPSHOTS"); v != "" {
 			if n, err := strconv.Atoi(v); err == nil {

archive/cmd/restoretest-cli/main.go

@@ -0,0 +1,71 @@
+// restoretest-cli ist der Aufrufpunkt fuer BAK-06 (systemd-Timer,
+// regelmaessiger Zeitplan) - fuehrt einen vollstaendigen Restore-Test
+// (Datenbank UND Objekt-Storage) gegen die jeweils neueste Sicherung in
+// eine isolierte Testumgebung durch und protokolliert das Ergebnis.
+package main
+
+import (
+	"context"
+	"log"
+	"os"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/restoretest"
+)
+
+func main() {
+	testRoot := os.Getenv("NEXARCH_RESTORETEST_DIR")
+	logPath := os.Getenv("NEXARCH_RESTORETEST_LOG")
+	if testRoot == "" || logPath == "" {
+		log.Fatal("NEXARCH_RESTORETEST_DIR und NEXARCH_RESTORETEST_LOG muessen gesetzt sein")
+	}
+	if err := os.MkdirAll(testRoot, 0o750); err != nil {
+		log.Fatalf("testverzeichnis anlegen: %v", err)
+	}
+
+	ctx := context.Background()
+	failed := false
+
+	dbCfg := backup.Config{
+		Host:      os.Getenv("NEXARCH_BACKUP_PG_HOST"),
+		Port:      os.Getenv("NEXARCH_BACKUP_PG_PORT"),
+		User:      os.Getenv("NEXARCH_BACKUP_PG_USER"),
+		Password:  os.Getenv("NEXARCH_BACKUP_PG_PASSWORD"),
+		BackupDir: os.Getenv("NEXARCH_BACKUP_DIR"),
+	}
+	pgCfg := restoretest.PgConfig{TestPort: envOr("NEXARCH_RESTORETEST_PG_PORT", "55433")}
+	dbResult := restoretest.RunDatabaseTest(ctx, dbCfg, pgCfg, testRoot)
+	logResult(logPath, dbResult)
+	if !dbResult.Success {
+		failed = true
+	}
+
+	objCfg := objectbackup.Config{
+		RepoDir:  os.Getenv("NEXARCH_OBJECTBACKUP_REPO_DIR"),
+		Password: os.Getenv("NEXARCH_OBJECTBACKUP_PASSWORD"),
+	}
+	objResult := restoretest.RunObjectTest(ctx, objCfg, testRoot)
+	logResult(logPath, objResult)
+	if !objResult.Success {
+		failed = true
+	}
+
+	if failed {
+		os.Exit(1)
+	}
+}
+
+func logResult(logPath string, r restoretest.Result) {
+	log.Printf("restoretest %s: quelle=%s erfolg=%t detail=%s", r.Kind, r.Source, r.Success, r.Detail)
+	if err := restoretest.AppendHistory(logPath, r); err != nil {
+		log.Fatalf("protokoll schreiben: %v", err)
+	}
+}
+
+func envOr(key, fallback string) string {
+	if v := os.Getenv(key); v != "" {
+		return v
+	}
+	return fallback
+}

archive/cmd/restoretest-metrics/main.go

@@ -0,0 +1,70 @@
+// restoretest-metrics stellt BAK-06s Testlauf-Historie unter /metrics
+// bereit - dauerhafter Prozess getrennt vom Oneshot-restoretest-cli
+// (Pull-Modell, Core OPS-03 scrapt, kein Push - dieselbe Begruendung wie
+// BAK-08s scrub-metrics).
+package main
+
+import (
+	"fmt"
+	"log"
+	"net/http"
+	"os"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/restoretest"
+)
+
+func main() {
+	logPath := os.Getenv("NEXARCH_RESTORETEST_LOG")
+	if logPath == "" {
+		log.Fatal("NEXARCH_RESTORETEST_LOG muss gesetzt sein")
+	}
+	addr := os.Getenv("NEXARCH_RESTORETEST_METRICS_LISTEN_ADDR")
+	if addr == "" {
+		addr = ":8091"
+	}
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/metrics", func(w http.ResponseWriter, r *http.Request) {
+		history, err := restoretest.ReadHistory(logPath)
+		if err != nil {
+			http.Error(w, err.Error(), http.StatusInternalServerError)
+			return
+		}
+
+		// Historie ist append-only (siehe AppendHistory) - die Anzahl
+		// fehlgeschlagener Eintraege waechst daher von selbst monoton,
+		// kein separater Zaehlerstand noetig (gueltiger Prometheus-Counter).
+		var failuresTotal int
+		lastSuccess := map[restoretest.Kind]float64{restoretest.KindDatabase: -1, restoretest.KindObjects: -1}
+		for _, res := range history {
+			if !res.Success {
+				failuresTotal++
+			}
+			if res.Success {
+				lastSuccess[res.Kind] = 1
+			} else {
+				lastSuccess[res.Kind] = 0
+			}
+		}
+
+		w.Header().Set("Content-Type", "text/plain; version=0.0.4")
+		body := fmt.Sprintf(
+			"# HELP nexarch_archive_restore_test_failures_total Anzahl seit Einrichtung fehlgeschlagener Restore-Testlaeufe (BAK-06).\n"+
+				"# TYPE nexarch_archive_restore_test_failures_total counter\n"+
+				"nexarch_archive_restore_test_failures_total %d\n"+
+				"# HELP nexarch_archive_restore_test_last_success Letzter Testlauf erfolgreich (1) oder fehlgeschlagen (0), -1 wenn noch kein Lauf, je Art.\n"+
+				"# TYPE nexarch_archive_restore_test_last_success gauge\n"+
+				"nexarch_archive_restore_test_last_success{kind=\"database\"} %g\n"+
+				"nexarch_archive_restore_test_last_success{kind=\"objects\"} %g\n",
+			failuresTotal, lastSuccess[restoretest.KindDatabase], lastSuccess[restoretest.KindObjects])
+		if _, err := w.Write([]byte(body)); err != nil {
+			log.Printf("restoretest-metrics: antwort schreiben: %v", err)
+		}
+	})
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("restoretest-metrics: listening on %s", addr)
+	if err := http.ListenAndServe(addr, mux); err != nil {
+		log.Fatalf("http server: %v", err)
+	}
+}

archive/cmd/retention-api/main.go

@@ -0,0 +1,55 @@
+// retention-api ist der Aufrufpunkt fuer RET-06-API: Backend-HTTP-Dienst
+// fuer die Aufbewahrungsfristen-Konfiguration (CRUD + Vorschauliste).
+// Getrennt vom scrub-metrics-/restoretest-metrics-Muster, weil dies KEIN
+// Prometheus-/OPS-03-Endpunkt ist, sondern ein echter Admin-API-Dienst
+// (Next.js-Frontend als eigenes Folgeticket).
+package main
+
+import (
+	"context"
+	"log"
+	"net/http"
+	"os"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/rbacclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionapi"
+)
+
+func main() {
+	dsn := os.Getenv("NEXARCH_RETENTION_TENANT_DSN")
+	if dsn == "" {
+		log.Fatal("NEXARCH_RETENTION_TENANT_DSN muss gesetzt sein")
+	}
+	addr := os.Getenv("NEXARCH_RETENTION_API_LISTEN_ADDR")
+	if addr == "" {
+		addr = "127.0.0.1:8092"
+	}
+	rbacBaseURL := os.Getenv("NEXARCH_RETENTION_RBAC_BASE_URL")
+	if rbacBaseURL == "" {
+		log.Fatal("NEXARCH_RETENTION_RBAC_BASE_URL muss gesetzt sein (RBAC-06, z. B. http://127.0.0.1:8093)")
+	}
+	rbacServiceToken := os.Getenv("NEXARCH_RETENTION_RBAC_SERVICE_TOKEN")
+	if rbacServiceToken == "" {
+		log.Fatal("NEXARCH_RETENTION_RBAC_SERVICE_TOKEN muss gesetzt sein")
+	}
+
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		log.Fatalf("datenbankverbindung: %v", err)
+	}
+	defer pool.Close()
+
+	rbac := rbacclient.New(rbacBaseURL, rbacServiceToken)
+
+	mux := http.NewServeMux()
+	retentionapi.Mount(mux, pool, rbac)
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("retention-api: listening on %s", addr)
+	if err := http.ListenAndServe(addr, mux); err != nil {
+		log.Fatalf("http server: %v", err)
+	}
+}

archive/cmd/retention-notify-job/main.go

@@ -0,0 +1,63 @@
+// retention-notify-job ist der Aufrufpunkt fuer RET-07 (systemd-Timer,
+// konfigurierbare Kadenz, analog scrub-cli/BAK-08): ein Durchlauf pro
+// Aufruf, ermittelt bald ablaufende Objekte (RET-02) und loest fuer noch
+// nicht benachrichtigte je ein Ereignis ueber Core CFG-05 aus. Versendet
+// selbst nichts, protokolliert Fehlschlaege explizit statt sie zu
+// verwerfen (Pflichtpruefung 3).
+package main
+
+import (
+	"context"
+	"log"
+	"os"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/notifyclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionnotify"
+)
+
+func requireEnv(name string) string {
+	v := os.Getenv(name)
+	if v == "" {
+		log.Fatalf("%s muss gesetzt sein", name)
+	}
+	return v
+}
+
+func main() {
+	dsn := requireEnv("NEXARCH_RETENTION_TENANT_DSN")
+	notifyBaseURL := requireEnv("NEXARCH_RETENTION_NOTIFY_BASE_URL")
+	notifyServiceToken := requireEnv("NEXARCH_RETENTION_NOTIFY_SERVICE_TOKEN")
+	recipient := retentionnotify.Recipient{
+		TenantSlug: requireEnv("NEXARCH_RETENTION_NOTIFY_TENANT_SLUG"),
+		UserID:     requireEnv("NEXARCH_RETENTION_NOTIFY_ADMIN_USER_ID"),
+		Email:      requireEnv("NEXARCH_RETENTION_NOTIFY_ADMIN_EMAIL"),
+	}
+
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		log.Fatalf("datenbankverbindung: %v", err)
+	}
+	defer pool.Close()
+
+	client := notifyclient.New(notifyBaseURL, notifyServiceToken)
+
+	results, err := retentionnotify.Run(ctx, pool, client, time.Now().UTC(), recipient)
+	if err != nil {
+		log.Fatalf("retention-notify-job: durchlauf fehlgeschlagen: %v", err)
+	}
+
+	failed := 0
+	for _, r := range results {
+		if r.Err != nil {
+			failed++
+			log.Printf("retention-notify-job: FEHLER bei objekt %s (klasse %s): %v", r.RetentionObjectID, r.RetentionClass, r.Err)
+			continue
+		}
+		log.Printf("retention-notify-job: objekt %s (klasse %s) benachrichtigt, job_id=%s skipped=%t", r.RetentionObjectID, r.RetentionClass, r.JobID, r.Skipped)
+	}
+	log.Printf("retention-notify-job: durchlauf abgeschlossen, %d ergebnis(se), %d fehlgeschlagen", len(results), failed)
+}

archive/cmd/tenantbackup-cli/main.go

@@ -0,0 +1,146 @@
+// tenantbackup-cli ist der Aufrufpunkt fuer BAK-04: Sicherung/
+// Wiederherstellung EINES einzelnen Mandanten (Datenbank UND
+// Objekt-Storage-Root), unabhaengig vom Gesamt-Backup (BAK-01/BAK-02)
+// planbar - eigener systemd-Timer, eigenes Log.
+package main
+
+import (
+	"context"
+	"flag"
+	"fmt"
+	"log"
+	"os"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/tenantbackup"
+)
+
+func main() {
+	if len(os.Args) < 2 {
+		usage()
+		os.Exit(2)
+	}
+	logPath := os.Getenv("NEXARCH_TENANTBACKUP_LOG")
+	if logPath == "" {
+		logPath = "/var/nexarch-archiv/tenantbackup.log"
+	}
+
+	switch os.Args[1] {
+	case "backup":
+		runBackup(logPath, os.Args[2:])
+	case "restore":
+		runRestore(logPath, os.Args[2:])
+	default:
+		usage()
+		os.Exit(2)
+	}
+}
+
+func usage() {
+	fmt.Fprintln(os.Stderr, "usage: tenantbackup-cli backup  <tenant-db> <objekt-storage-root>")
+	fmt.Fprintln(os.Stderr, "       tenantbackup-cli restore <tenant-db> <ziel-db> <dump-datei> [<snapshot-id> <objekt-ziel-verzeichnis>]")
+}
+
+func dbConfig() tenantbackup.Config {
+	return tenantbackup.Config{
+		Host:      os.Getenv("NEXARCH_BACKUP_PG_HOST"),
+		Port:      os.Getenv("NEXARCH_BACKUP_PG_PORT"),
+		User:      os.Getenv("NEXARCH_BACKUP_PG_USER"),
+		Password:  os.Getenv("NEXARCH_BACKUP_PG_PASSWORD"),
+		BackupDir: os.Getenv("NEXARCH_TENANTBACKUP_DIR"),
+	}
+}
+
+func objConfig(tenantDB string) objectbackup.Config {
+	return objectbackup.Config{
+		RepoDir:  os.Getenv("NEXARCH_TENANTBACKUP_OBJECT_REPO_ROOT") + "/" + tenantDB,
+		Password: os.Getenv("NEXARCH_OBJECTBACKUP_PASSWORD"),
+	}
+}
+
+func runBackup(logPath string, args []string) {
+	fs := flag.NewFlagSet("backup", flag.ExitOnError)
+	if err := fs.Parse(args); err != nil {
+		os.Exit(2)
+	}
+	if fs.NArg() != 2 {
+		usage()
+		os.Exit(2)
+	}
+	tenantDB, storageRoot := fs.Arg(0), fs.Arg(1)
+	ctx := context.Background()
+	genID := time.Now().UTC().Format("20060102T150405Z")
+
+	dbCfg := dbConfig()
+	dumpPath, err := tenantbackup.Backup(ctx, dbCfg, tenantDB, genID)
+	logEntry(logPath, tenantbackup.OpBackupDB, tenantDB, "", dumpPath, err)
+	if err != nil {
+		log.Fatalf("datenbank-sicherung: %v", err)
+	}
+	if err := tenantbackup.Verify(ctx, dbCfg, dumpPath); err != nil {
+		log.Fatalf("datenbank-sicherung verifizieren: %v", err)
+	}
+
+	objCfg := objConfig(tenantDB)
+	if err := objectbackup.InitRepo(ctx, objCfg); err != nil {
+		log.Fatalf("objekt-repository initialisieren: %v", err)
+	}
+	summary, err := objectbackup.Backup(ctx, objCfg, storageRoot)
+	logEntry(logPath, tenantbackup.OpBackupObj, tenantDB, storageRoot, summary.SnapshotID, err)
+	if err != nil {
+		log.Fatalf("objekt-storage-sicherung: %v", err)
+	}
+
+	fmt.Printf("tenantbackup: tenant=%s db-dump=%s objekt-snapshot=%s\n", tenantDB, dumpPath, summary.SnapshotID)
+}
+
+func runRestore(logPath string, args []string) {
+	fs := flag.NewFlagSet("restore", flag.ExitOnError)
+	if err := fs.Parse(args); err != nil {
+		os.Exit(2)
+	}
+	if fs.NArg() < 3 {
+		usage()
+		os.Exit(2)
+	}
+	tenantDB, targetDB, dumpPath := fs.Arg(0), fs.Arg(1), fs.Arg(2)
+	ctx := context.Background()
+
+	dbCfg := dbConfig()
+	err := tenantbackup.CreateEmptyDatabase(ctx, dbCfg, targetDB)
+	if err == nil {
+		err = tenantbackup.Restore(ctx, dbCfg, dumpPath, targetDB)
+	}
+	logEntry(logPath, tenantbackup.OpRestoreDB, tenantDB, dumpPath, targetDB, err)
+	if err != nil {
+		log.Fatalf("datenbank-restore: %v", err)
+	}
+	fmt.Printf("tenantbackup restore: tenant=%s ziel-db=%s ergebnis=ok\n", tenantDB, targetDB)
+
+	if fs.NArg() < 5 {
+		return
+	}
+	snapshotID, objTarget := fs.Arg(3), fs.Arg(4)
+	objCfg := objConfig(tenantDB)
+	err = objectbackup.Restore(ctx, objCfg, snapshotID, objTarget)
+	logEntry(logPath, tenantbackup.OpRestoreObj, tenantDB, snapshotID, objTarget, err)
+	if err != nil {
+		log.Fatalf("objekt-storage-restore: %v", err)
+	}
+	fmt.Printf("tenantbackup restore: tenant=%s objekt-ziel=%s ergebnis=ok\n", tenantDB, objTarget)
+}
+
+func logEntry(logPath string, op tenantbackup.Operation, tenantID, source, target string, err error) {
+	result := "ok"
+	if err != nil {
+		result = err.Error()
+	}
+	entry := tenantbackup.LogEntry{
+		Timestamp: time.Now().UTC(), Operation: op, TenantID: tenantID,
+		Source: source, Target: target, Result: result,
+	}
+	if logErr := tenantbackup.AppendLog(logPath, entry); logErr != nil {
+		log.Fatalf("protokoll schreiben: %v", logErr)
+	}
+}

archive/docs/BAK-04-PRUEFPROTOKOLL.md

@@ -0,0 +1,123 @@
+# BAK-04 – Prüfprotokoll: Tenant-Backup & -Restore (einzelner Mandant)
+
+Voraussetzung BAK-03 – erledigt, siehe eigenes Protokoll.
+
+## Grundsatzentscheidung: eigenes Verfahren, NICHT auf BAK-01/BAK-03 aufgesetzt
+
+Nutzer-Rückfrage vor Implementierungsbeginn bestätigte einen realen
+Architekturkonflikt: `pg_basebackup` (BAK-01) sichert den GESAMTEN
+Postgres-Cluster. Bei Modell C (TEN-01: eine physisch isolierte
+Datenbank je Mandant) liegen ALLE Mandanten-Datenbanken im selben
+Cluster — ein Restore der BAK-01-Sicherung würde zwangsläufig ALLE
+Mandanten gleichzeitig überschreiben, das Gegenteil von
+Mandanten-Isolation. `internal/tenantbackup` verwendet daher ein
+DATENBANK-SCHARFES logisches Verfahren (`pg_dump -Fc`/`pg_restore` für
+GENAU EINE benannte Datenbank), keine physische Cluster-Sicherung.
+Objekt-Storage-Seite: da jeder Mandant bereits einen eigenen
+Bucket/Pfad-Root hat (`STORAGE-KONZEPT.md` Abschnitt 3), genügt ein
+`objectbackup`-Aufruf pro Mandanten-Root — keine neue Objekt-Storage-Logik
+nötig, das bestehende BAK-02-Paket direkt wiederverwendet.
+
+## Zweite Rückfrage geklärt: OPS-03/`metrics_sources` kennt keine
+## Tenant-Label-Dimension auf Schema-Ebene
+
+`metrics_sources` ist `module_name TEXT PRIMARY KEY, metrics_url TEXT` —
+ein Eintrag pro DIENST, kein Tenant-Feld. Labels (z. B. `tenant="..."`)
+sind ein Prometheus-Textformat-Konzept INNERHALB der von einem Dienst
+exportierten Metrik, nicht Teil von `metrics_sources`. Ein
+`tenant_restore_failed_total{tenant="..."}`-Export wäre daher technisch
+möglich, ohne OPS-03s Schema zu ändern (derselbe Mechanismus wie
+BAK-06s `{kind="database"}`-Labels). **Bewusst nicht umgesetzt** in
+diesem Ticket: BAK-04s Akzeptanzkriterien fordern "vollständig
+protokolliert" (JSONL-Log, siehe unten), keine OPS-05-Alarmierung — eine
+`/metrics`-Anbindung wäre zusätzlicher Scope über das Ticket hinaus und
+bleibt als dokumentierter, leicht nachziehbarer Folgeschritt offen
+(gleiches Muster wie zuvor bei BAK-05s Meldeweg-Frage).
+
+## Reale Betriebsrollen-Grenze gefunden (dokumentiert, nicht verschwiegen)
+
+Die für BAK-04 nötige Postgres-Rolle braucht `CREATEDB` (isolierte
+Zieldatenbanken anlegen) — bewusst NICHT `nexarch_backup` erweitert
+(jene Rolle hat nur `REPLICATION`, Prinzip geringster Rechte aus BAK-01).
+Neue, eigene Rolle `nexarch_tenantbackup` angelegt. Beim ersten echten
+Restore-Versuch schlug `pg_restore` mit `permission denied for schema
+public` fehl (Versuch, Tabellen auf den URSPRÜNGLICHEN Tenant-Eigentümer
+umzueignen) — behoben mit `pg_restore --no-owner` (Standardpraxis beim
+Restore in eine andere Umgebung/Rolle, Eigentümerschaft ist für den
+Restore-Nachweis irrelevant). Für PRODUKTIVE Mandanten-Datenbanken (nach
+echter TEN-01-Provisionierung) muss `nexarch_tenantbackup` je Mandant
+Lesezugriff erhalten (z. B. Rollenmitgliedschaft) — hier für den
+Testnachweis exemplarisch für `dms_tenant_test` eingerichtet, echte
+Automatisierung dieses Zugriffs ist TEN-01/TEN-07-Folgearbeit.
+
+## Umsetzung
+
+- `internal/tenantbackup.Backup` — `pg_dump -Fc` für genau eine
+  Datenbank.
+- `internal/tenantbackup.Verify` — `pg_restore -l`, volle
+  Inhaltslisten-Prüfung (nicht nur Dateikopf).
+- `internal/tenantbackup.CreateEmptyDatabase` — schlägt fehl, wenn
+  Zieldatenbank bereits existiert (kein stiller Overwrite, dieselbe
+  Disziplin wie BAK-03s `internal/restore`).
+- `internal/tenantbackup.Restore` — `pg_restore --no-owner`.
+- `internal/tenantbackup.AppendLog`/`ReadLog` — JSONL,
+  Sicherung UND Restore beide protokolliert (Akzeptanzkriterium 3).
+- `cmd/tenantbackup-cli` — `backup <tenant-db> <storage-root>` /
+  `restore <tenant-db> <ziel-db> <dump> [<snapshot-id> <objekt-ziel>]`.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Sicherung von Tenant A enthält keine Datensätze von Tenant B (Stichprobe) | **bestanden** — `TestBackupRestore_RecoversExactTenantData`: Tenant A mit eindeutigem Markerwert gesichert und in isolierte Zieldatenbank wiederhergestellt, Markerwert stimmt exakt; strukturell ist ein Cross-Tenant-Leck ausgeschlossen, weil `pg_dump` ausschließlich mit der EINEN übergebenen Datenbankverbindung spricht (Modell C, TEN-01) |
+| 2 | Wiederherstellung von Tenant A in eine Testumgebung verändert Tenant B dort nicht | **bestanden** — `TestRestore_DoesNotAffectOtherTenant`: reales zweites Tenant-DB mit eigenem Markerwert angelegt, nach Restore von Tenant A unverändert (Markerwert UND Datenbank-Existenz geprüft) |
+| 3 | Tenant-Sicherung und -Restore vollständig protokolliert | **bestanden** — `TestLog_BackupAndRestoreFullyLogged`; real auf 131: `tenantbackup.log` zeigt beide Operationen (`backup_database`, `backup_objects`, `restore_database`, `restore_objects`) mit Zeitstempel/Quelle/Ziel/Ergebnis |
+
+Zusätzlich: `TestVerify_DetectsCorruptedDump` (absichtlich beschädigtes
+Dump-Archiv wird erkannt).
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- `tenantbackup-cli` gebaut nach `/opt/nexarch-archive/bin/`
+- Eigene Postgres-Rolle `nexarch_tenantbackup` (`CREATEDB`, kein
+  Superuser) angelegt — getrennt von `nexarch_backup` (Prinzip
+  geringster Rechte)
+- `/etc/nexarch/archive-tenantbackup.env` (0600)
+- Realer End-zu-Ende-Lauf über `tenantbackup-cli` (nicht nur Testcode):
+  Sicherung von `dms_tenant_test` (DB-Dump + Objekt-Snapshot eines
+  Demo-Verzeichnisses) → Restore in isolierte Zieldatenbank
+  (`dms_tenant_test_restore_demo`) UND isoliertes Zielverzeichnis →
+  Objektinhalt real gelesen und bestätigt (`demo-tenant-objekt-inhalt`)
+  → Protokolldatei zeigt alle vier Operationen korrekt → Testartefakte
+  anschließend entfernt (Zieldatenbank gedroppt, Demo-Verzeichnisse
+  gelöscht)
+- `nexarch-archive-tenantbackup.{service,timer}.tmpl` als Vorlage
+  bereitgestellt (unabhängiger Zeitplan, Akzeptanzkriterium 3) — bewusst
+  NICHT auf einen festen Mandanten scharf geschaltet installiert, da
+  TEN-01s echte Tenant-Registry auf 192.168.1.131 noch nicht produktiv
+  befüllt ist (nur die Test-Tenant-DB `dms_tenant_test` existiert); reale
+  Aktivierung pro Mandant folgt, sobald eine echte Registry-Abfrage dafür
+  vorliegt (dokumentierter, kein stiller Gap)
+
+## Build/Test-Ergebnis (192.168.1.131, `make check`)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1 -count=1  -> 7/7 Pakete mit Tests ok (backup, objectbackup, reconcile, restore, restoretest, scrub, tenantbackup), 0 Fehlschläge
+```
+
+`internal/tenantbackup`-Tests brauchen eine eigene Rolle mit `CREATEDB`
+(`TEST_TENANTBACKUP_PG_USER`, NICHT `TEST_BACKUP_PG_USER` — bewusst
+getrennt, siehe Betriebsrollen-Hinweis oben): 4/4 Tests bestanden.
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt — sowohl testgetrieben (echte
+Zwei-Tenant-Isolation in beide Richtungen bewiesen) als auch über einen
+echten CLI-Lauf auf 192.168.1.131. Ein architektonischer Fund vor
+Implementierungsbeginn (Cluster- vs. Datenbank-scharfe Sicherung) und
+zwei reale Betriebsdefekte (fehlende Rollenrechte, `pg_restore`-
+Eigentümerkonflikt) dokumentiert, nicht stillschweigend umgangen.

archive/docs/BAK-06-PRUEFPROTOKOLL.md

@@ -0,0 +1,110 @@
+# BAK-06 – Prüfprotokoll: Restore-Testverfahren
+
+Voraussetzung BAK-03 – erledigt, siehe eigenes Protokoll.
+
+## Grundsatzentscheidung: Produktcode statt Testcode für den echten Nachweis
+
+Produkt-DNA: "Wiederherstellung ist Routine, nicht Ausnahmefall –
+regelmäßig getestet." Ein reiner Dateiexistenz-Check hätte diese
+Forderung nicht erfüllt (dieselbe Disziplin wie überall sonst in diesem
+Projekt: "jede Prüfung tatsächlich durchführen"). `internal/restoretest`
+übernimmt daher exakt die Prüftiefe, die BAK-03s eigener Test bewiesen
+hat — tatsächlicher Restore, tatsächlicher Kurzstart einer isolierten
+Postgres-Instanz, tatsächliche `SELECT 1`-Abfrage — als WIEDERHOLBAREN
+Produktcode statt einmaligen Testcode, damit es unbeaufsichtigt auf
+Zeitplan laufen kann.
+
+Historie: append-only JSONL-Datei (Akzeptanzkriterium 2/Pflichtprüfung
+3). Sichtbare Warnung (Akzeptanzkriterium 3): derselbe OPS-05-Pull-Weg
+wie BAK-08 (`nexarch_archive_restore_test_failures_total`, Counter) —
+bewusst als EIGENES `/metrics`-Modul (`archive-restoretest`) registriert,
+nicht in BAK-08s `scrub-metrics` verbaut (kein Umbau angrenzender,
+bereits fertiger Bereiche).
+
+## Drei reale Defekte während der Implementierung gefunden und behoben
+
+1. **Unix-Socket-Pfadlänge:** Postgres begrenzt Socket-Pfade auf 107
+   Byte — ein unter `t.TempDir()` verschachtelter Pfad reißt dieses
+   Limit leicht. Fix: eigenes, kurzes Socket-Verzeichnis
+   (`os.MkdirTemp("", ...)`), nicht unter dem Testverzeichnis.
+2. **`restic snapshots --json` unter dem systemd-Dienstnutzer
+   `nexarch`:** ohne beschreibbares `HOME` schreibt restic eine Warnung
+   ("unable to open cache: ...") nach STDERR — `CombinedOutput()` hätte
+   sie vor das JSON-Array gemischt und das Parsen gebrochen. Fix: nur
+   `cmd.Output()` (stdout), stderr separat für Fehlermeldungen.
+3. Beide Defekte wurden NICHT beim ersten laufenden Testdurchlauf
+   sichtbar, sondern erst beim ECHTEN systemd-Lauf unter dem
+   `nexarch`-Dienstnutzer (Defekt 2) bzw. bei tief verschachtelten
+   Go-Testpfaden (Defekt 1) — Beleg dafür, warum sowohl automatisierte
+   Tests als auch ein realer Deploy-Lauf nötig sind, keines allein hätte
+   beide gefunden.
+
+## Umsetzung
+
+- `internal/restoretest.RunDatabaseTest` — neueste Generation ermitteln
+  (`backup.ListGenerations`), `backup.Restore` in isoliertes
+  Testverzeichnis, Kurzstart via `pg_ctl`, `SELECT 1` über echte
+  Verbindung, danach `pg_ctl stop`.
+- `internal/restoretest.RunObjectTest` — neuesten Snapshot ermitteln,
+  `objectbackup.Restore` in isoliertes Testverzeichnis, Inhalt real
+  geprüft (nicht nur Exit-Code).
+- `internal/restoretest.AppendHistory`/`ReadHistory` — JSONL,
+  append-only.
+- `cmd/restoretest-cli` — Oneshot, beide Testarten, Exit-Code 1 bei
+  Fehlschlag.
+- `cmd/restoretest-metrics` — dauerhafter `/metrics`-Endpunkt, Zähler
+  aus der Historie abgeleitet (append-only ⇒ Fehlschlagszahl von selbst
+  monoton, kein separater Zählerstand nötig).
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Geplanter Testlauf gegen aktuelle Sicherung erfolgreich durchgeführt und protokolliert | **bestanden** — `TestRunDatabaseTest_SucceedsAgainstRealBackup`, `TestRunObjectTest_SucceedsAgainstRealSnapshot`; real auf 131: `systemctl start nexarch-archive-restoretest.service` → beide Testarten `erfolg=true`, in `history.log` protokolliert |
+| 2 | Absichtlich beschädigte Sicherung lässt den Testlauf sichtbar fehlschlagen | **bestanden** — `TestRunDatabaseTest_DetectsCorruptedBackup`: `base.tar.gz` durch Datenmüll ersetzt, `RunDatabaseTest` liefert `Success=false` mit aussagekräftigem Detail |
+| 3 | Protokollhistorie zeigt mehrere zurückliegende Testläufe nachvollziehbar an | **bestanden** — `TestHistory_ShowsMultiplePastRunsInOrder`: drei Einträge angehängt, in exakt derselben Reihenfolge gelesen |
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- `restoretest-cli`, `restoretest-metrics` gebaut nach
+  `/opt/nexarch-archive/bin/`
+- `/etc/nexarch/archive-restoretest.env` (0600)
+- `nexarch-archive-restoretest.timer` installiert/aktiviert (wöchentlich
+  So. 07:00 UTC), `nexarch-archive-restoretest-metrics.service`
+  installiert/aktiviert (dauerhaft) — beide `systemctl status`: aktiv
+- `Environment=PATH=...` im Service ergänzt um
+  `/usr/lib/postgresql/17/bin` (Debian verlinkt `pg_ctl`/
+  `pg_combinebackup` nicht ins Standard-PATH)
+- **Reales `INSERT` in `metrics_sources`** (Core-Registry-DB):
+  `('archive-restoretest', 'http://127.0.0.1:8091/metrics')`
+- **End-to-End über OPS-03 bestätigt**: `curl http://127.0.0.1:8085/metrics`
+  zeigt `nexarch_module_archive_restoretest_nexarch_archive_restore_test_*`
+  mit den realen Werten (`failures_total=0`,
+  `last_success{kind="database"}=1`, `last_success{kind="objects"}=1`)
+- Realer Lauf via `systemctl start nexarch-archive-restoretest.service`:
+  beide Testarten erfolgreich, Journal zeigt Details, `/metrics` und
+  OPS-03-Aggregation stimmen überein
+
+## Build/Test-Ergebnis (192.168.1.131, `make check`)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1 -count=1  -> 6/6 Pakete mit Tests ok (backup, objectbackup, reconcile, restore, restoretest, scrub), 0 Fehlschläge
+```
+
+Hinweis wie bei BAK-03: die Datenbank-Restore-Tests
+(`TestRunDatabaseTest_*`) brauchen `pg_ctl`/`pg_combinebackup` im PATH
+und laufen NICHT als root — separat als `postgres`-Systemnutzer
+verifiziert (7/7 `internal/restoretest`-Tests bestanden), im normalen
+root-`make check`-Lauf werden sie mit klarer Meldung übersprungen.
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt — sowohl testgetrieben als auch über einen
+echten, unbeaufsichtigten systemd-Lauf mit OPS-03/OPS-05-Sichtbarkeit
+nachgewiesen. Zwei während der Implementierung gefundene reale Defekte
+(Unix-Socket-Pfadlänge, restic-stderr-Vermischung unter dem
+Dienstnutzer) behoben und dokumentiert.

archive/docs/BAK-07-PRUEFPROTOKOLL.md

@@ -0,0 +1,112 @@
+# BAK-07 – Prüfprotokoll: Aufbewahrungsfrist für Backup-Snapshots
+
+Voraussetzung BAK-01, BAK-02 – erledigt, siehe eigene Protokolle.
+
+## Grundsatzentscheidung: restic-native Staffelung für Objekte, eigene GFS-Funktion für DB-Generationen
+
+Objekt-Storage (BAK-02): restic beherrscht gestaffelte Aufbewahrung
+bereits nativ (`forget --keep-daily/--keep-weekly/--keep-monthly`) —
+kein Eigenbau, `internal/objectbackup.PruneTiered` ist ein dünner
+Wrapper (dieselbe Disziplin wie beim ursprünglichen
+restic-statt-Eigenbau-Entscheid in BAK-02).
+
+Datenbank-Generationen (BAK-01): `pg_basebackup` kennt keine
+Staffelung, daher `internal/backup.PruneTiered` als reine Funktion
+(GFS-Prinzip: je Granularität Tag/Woche/Monat wird pro Zeitfenster die
+NEUESTE Generation behalten, bis die konfigurierte Fensteranzahl
+erreicht ist) — ohne Dateisystemzugriff testbar, `PruneRotate` führt die
+tatsächliche Löschung anhand des Ergebnisses aus (analog zu BAK-01s
+bestehendem `Rotate`).
+
+Beide Policies sind über Umgebungsvariablen konfigurierbar
+(`NEXARCH_BACKUP_KEEP_DAILY/WEEKLY/MONTHLY`,
+`NEXARCH_OBJECTBACKUP_KEEP_DAILY/WEEKLY/MONTHLY`), nicht hart codiert
+(Ticket-Vorgabe). Bestehende flache "letzte N"-Rotation
+(`NEXARCH_*_KEEP_GENERATIONS`/`KEEP_SNAPSHOTS`) bleibt als Fallback
+erhalten, falls keine Staffelung gesetzt ist — kein Bruch für bestehende
+Deployments.
+
+## Sicherheitsnetz für Akzeptanzkriterium 3 (Legal-Hold-Kollision)
+
+`internal/backup.PruneTiered` behält STRUKTURELL immer die neueste
+Generation, unabhängig von der konfigurierten Staffelung — ein
+Dokument, das in der neuesten (immer behaltenen) Sicherung enthalten
+ist, bleibt also immer wiederherstellbar, unabhängig von einer
+laufenden RET-03/CMP-06-Aufbewahrungssperre (die dieses Ticket, Archive
+BAK-Modul, ohnehin nicht direkt anfasst — Sperren sind DMS/RET-Eigentum,
+kein Import-Ziel für Archive per "kein Umbau angrenzender Bereiche").
+Für Objekt-Storage ist die äquivalente Eigenschaft restics eigene
+Garantie: `forget --prune` entfernt niemals Datenblöcke, die ein
+BEHALTENER Snapshot noch referenziert (Content-defined Chunking +
+Referenzzählung) — real bewiesen, nicht nur behauptet (siehe Prüfung 3).
+
+## Umsetzung
+
+- `internal/backup.RetentionPolicy`/`PruneTiered` (`retention.go`) —
+  reine GFS-Funktion.
+- `internal/backup.PruneRotate` (`rotate.go`) — führt `PruneTiered`
+  tatsächlich gegen das Sicherungsverzeichnis aus.
+- `internal/objectbackup.RetentionPolicy`/`PruneTiered` (`restic.go`) —
+  Wrapper um restics native Staffelung.
+- `cmd/backup-cli rotate` / `cmd/objectbackup-cli rotate` — nutzen die
+  gestaffelte Policy, wenn konfiguriert, sonst weiterhin die flache
+  Regel (Abwärtskompatibilität).
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Prune-Test mit simulierten Snapshots über mehrere Altersstufen ergibt korrekte Staffelung | **bestanden** — `TestPruneTiered_KeepsCorrectStaggering` (Datenbank, reine Funktion, simulierte Generationen über Tage/Wochen/Monate) UND `TestPruneTiered_KeepsCorrectStaggering_RealSnapshots` (Objekt-Storage, ECHTE restic-Snapshots mit erzwungenem Zeitstempel `restic backup --time`, `KeepDaily=3` reduziert 10 reale Snapshots korrekt auf 3) |
+| 2 | Automatisierte Löschung abgelaufener Snapshots im Test nachgewiesen | **bestanden** — `TestPruneRotate_DeletesOnlyExpiredGenerations`: reales Verzeichnis, abgelaufene Generation tatsächlich vom Dateisystem entfernt, aktuelle unangetastet; real auf 131: `backup-cli rotate` und `objectbackup-cli rotate` über systemd ausgelöst, Journal zeigt „gestaffelte rotation abgeschlossen“ |
+| 3 | Legal-Hold-Test bestätigt, dass Pruning nicht mit Dokumenten-Retention kollidiert | **bestanden** — `TestPruneTiered_AlwaysKeepsNewest` (Datenbank-Sicherheitsnetz: neueste Generation immer behalten, selbst bei Policy 0/0/0) UND `TestPruneTiered_KeptSnapshotStillFullyRestorable` (Objekt-Storage, real: 5 ältere Snapshots eines Dokuments weggeprunt, verbleibender Snapshot danach vollständig und inhaltlich korrekt wiederhergestellt, zusätzlich `restic check --read-data` bestätigt Datenintegrität nach dem Pruning) |
+
+Zusätzlich: `TestPruneTiered_DeterministicForIdenticalInput`.
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- `backup-cli`, `objectbackup-cli` neu gebaut mit der gestaffelten
+  Rotations-Logik
+- `/etc/nexarch/archive-backup.env` und
+  `/etc/nexarch/archive-objectbackup.env` um
+  `KEEP_DAILY=14`/`KEEP_WEEKLY=12`/`KEEP_MONTHLY=12` ergänzt
+- Beide `*-rotate.service` real über `systemctl start` ausgelöst —
+  Journal bestätigt den neuen Pfad ("gestaffelte rotation
+  abgeschlossen"/"... entfernt: [...]"), nicht mehr die alte flache
+  Regel
+
+## Build/Test-Ergebnis (192.168.1.131, `make check`)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1 -count=1  -> 7/7 Pakete mit Tests ok, 0 Fehlschläge
+```
+
+## Bekannte Lücke: keine Kohärenz zwischen DB- und Objekt-Rotation
+
+Beide Rotationswege laufen als UNABHÄNGIGE systemd-Timer mit eigener
+Kadenz und eigener Policy-Auswertung — nichts stellt sicher, dass der
+älteste noch erreichbare restic-Snapshot und die älteste noch
+erreichbare DB-Generation denselben Zeitpunkt abdecken. Die aktuelle
+Konfiguration (`KEEP_DAILY=14`/`KEEP_WEEKLY=12`/`KEEP_MONTHLY=12` auf
+beiden Seiten identisch) ist eine ZUFÄLLIGE Übereinstimmung, kein
+getestetes oder erzwungenes Invariant — ein restic-Snapshot ohne
+zeitlich passende DB-Generation wäre ein inkonsistenter Restore-Punkt
+(Objekte ohne zugehörige `file_revisions`-Metadaten oder umgekehrt).
+Nicht Teil dieses Tickets (BAK-07 fordert nur je Sicherungsart eine
+konfigurierbare Staffelung, kein Cross-Artefakt-Alignment) — als
+dokumentierter Folgepunkt festgehalten, nicht stillschweigend
+übergangen: ein künftiges Ticket müsste entweder die Policies fest
+koppeln oder bei Restore-Zeitpunkt-Wahl (BAK-03) explizit warnen, wenn
+kein zeitlich passendes Gegenstück mehr existiert.
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt — sowohl mit simulierten (Datenbank) als
+auch mit tatsächlich zeitversetzt erzeugten, realen restic-Snapshots
+(Objekt-Storage). Ein realer Formatfehler beim Testaufbau gefunden und
+behoben (restics `--time`-Flag erwartet sein eigenes Format, nicht
+RFC3339). Beide Rotations-Wege real über systemd auf 192.168.1.131
+ausgelöst, nicht nur isolierter Testcode.

archive/docs/QA-04-ABNAHMEPROTOKOLL.md

@@ -0,0 +1,64 @@
+# QA-04 – Abnahmeprotokoll: Prüfgate Backup & Restore
+
+Voraussetzung BAK-04, BAK-05, BAK-06, BAK-07 – alle Fertig, siehe
+jeweilige Prüfprotokolle. Gate fasst deren Ergebnisse zusammen und
+fordert einen ZUSÄTZLICHEN, eigenständigen Nachweis: ein realer
+Restore-Lauf plus Reconciliation, ausgeführt als Abnahme-Handlung,
+nicht nur als Entwicklungs-Test.
+
+## Prüfungen
+
+| # | Prüfung | Zielwert | Messwert | Bewertung |
+|---|---|---|---|---|
+| 1 | Realer Restore-Testlauf erfolgreich und protokolliert | Beide Restore-Arten (DB + Objekt) laufen ohne Fehler, real gegen 192.168.1.131 | **Nachhol-Prüfung** (dedizierter Abnahme-Lauf für dieses Gate, NICHT identisch mit BAK-06s eigenem Entwicklungstest): `systemctl start nexarch-archive-restoretest.service` (2026-08-29 22:54:53 UTC): DB-Restore `erfolg=true` (Quelle `20260829T222054Z`), Objekt-Restore `erfolg=true` (Quelle `4af7bf18`); Ergebnis in `/var/nexarch-archiv/restoretest/history.log` protokolliert | **bestanden** |
+| 2 | Reconciliation nach dem Testlauf liefert einen sauberen Bericht | `missing_in_storage`/`orphaned_in_storage` beide leer | **Nachhol-Prüfung**, im selben Abnahme-Durchgang direkt nach Prüfung 1 ausgelöst: `systemctl start nexarch-archive-reconcile.service` (2026-08-29 22:55:02 UTC): `{"missing_in_storage": null, "orphaned_in_storage": null, "existing_in_storage": null}` | **bestanden** |
+| 3 | Offene Restrisiken sind schriftlich benannt | Vollständige, ehrliche Liste (siehe unten) | 5 Punkte identifiziert und dokumentiert | **bestanden** |
+
+## Offene Restrisiken (Akzeptanzkriterium/Pflichtprüfung 3)
+
+1. **Keine Kohärenz zwischen DB- und Objekt-Rotation** (BAK-07). Beide
+   Rotationswege laufen unabhängig, ohne Garantie, dass der älteste noch
+   erreichbare restic-Snapshot und die älteste noch erreichbare
+   DB-Generation zeitlich zusammenpassen. Aktuell identische
+   Keep-Werte sind Zufall, kein erzwungenes Invariant. **Ausdrücklich
+   NICHT gelöst**: ein Restore-Punkt ist nur dann belastbar, wenn zum
+   selben Zeitpunkt sowohl ein restic-Snapshot als auch eine
+   DB-Generation existieren — das ist aktuell nicht sichergestellt.
+2. **BAK-04-Rollenrechte nicht automatisiert für produktive Mandanten.**
+   `nexarch_tenantbackup` braucht je Mandant manuell/administrativ
+   eingerichteten Lesezugriff (Rollenmitgliedschaft), bis TEN-01/TEN-07
+   dies automatisiert bereitstellen. Aktuell nur für die Test-Tenant-DB
+   eingerichtet.
+3. **BAK-08 deckt keine Storage-Provider-Lücke.** Der Scrub-Job erkennt
+   Abweichungen nur bei Objekten, die gelesen und erneut geprüft werden
+   können — ersetzt keine storage-seitige WORM-/Versionierungsstrategie
+   und keine Zugriffs-/Audit-Logs des Storage-Providers. Bei extern
+   eingebundenem, nicht-kompatiblem Kunden-Storage (Betriebsmodus 3,
+   ohne Versioning/Object Lock/Audit-Logs) bleibt eine technisch nicht
+   schließbare Lücke (aus dem BAK-08-Ticket selbst übernommen, hier
+   erneut benannt statt stillschweigend vorausgesetzt).
+4. **Core FDN-03/FDN-09-Wiring-Lücke** (aus früheren Prüfprotokollen
+   bekannt, nicht Archive-Scope): Core-seitige Handler für Speicher-
+   Nutzungsmeldung und Tenant-KEK-Abruf existieren, sind aber in keinem
+   laufenden Core-Dienst registriert. Betrifft indirekt BAK-08s
+   OPS-05-Anbindung (funktioniert unabhängig davon, aber der breitere
+   Meldeweg für Speicher-Nutzung bleibt lückenhaft).
+5. **`existing_in_storage`/Reconciliation-Basis aktuell leer im
+   Testsystem.** Der saubere Bericht dieses Gates (Prüfung 2) beweist
+   Abwesenheit von Abweichungen, nicht Abdeckung eines befüllten
+   Bestands — `dms_tenant_test` enthält aktuell keine Testdaten (von
+   früheren Testläufen geleert). Ein Gate-Wiederholungslauf mit echtem
+   Datenbestand vor Produktivbetrieb wird empfohlen.
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Prüfungen real durchgeführt und dokumentiert.
+Fünf Restrisiken benannt, keines davon blockiert die Freigabe der
+Backup-Funktionen, alle sind entweder bereits als Folgeticket-Kandidaten
+dokumentiert (1, 4) oder liegen strukturell außerhalb des
+Archive-Moduls (2, 3) bzw. sind ein Hinweis für den Produktivbetrieb (5).
+
+## Unterschriften
+
+- **Umsetzung:** Claude (Agent), 2026-08-30 — alle Prüfungen durchgeführt, Protokoll erstellt.
+- **Gegenzeichnung geprüft:** Betreiber, 2026-08-30 — unter den drei Bedingungen (Rotations-Kohärenz als offenes Restrisiko benannt, Nachhol-Prüfung explizit gekennzeichnet, Zwei-Namen-Unterschrift) bestätigt.

archive/docs/RET-01-PRUEFPROTOKOLL.md

@@ -0,0 +1,64 @@
+# RET-01 – Prüfprotokoll: Generisches Retention-Objektmodell
+
+Keine Vorbedingungen (Welle 1 des RET-Epics).
+
+## Grundsatzentscheidung: Adapter-Muster, keine Fremdschlüssel auf Modul-Tabellen
+
+`retention_objects.object_type`/`object_reference` sind reine
+Textfelder — Archive importiert weder DMS- noch Mail-Code (eigene
+Go-Module, physisch getrennte Verantwortung, dieselbe Disziplin wie
+BAK-05s `reconcile`-Paket gegenüber `file_revisions`). Ein neues Modul
+kann retention-pflichtige Objekte einbinden, ohne dieses Paket zu
+ändern — nur `RegisterObject(objectType, objectReference)` aufrufen.
+
+Aufbewahrungsklassen-Zuordnung ist historisiert: `AssignClass` fügt
+IMMER eine neue Zeile hinzu, ändert nie eine bestehende — die "aktuelle"
+Klasse ist die mit dem jüngsten `assigned_at`. Damit bleibt
+nachvollziehbar, wann und wie oft sich die Klasse eines Objekts
+geändert hat, ohne eigene Audit-Tabelle.
+
+## Umsetzung
+
+- `migrations/0002_retention.up.sql`/`.down.sql` — `retention_objects`,
+  `retention_class_assignments`.
+- `internal/retention.RegisterObject` — idempotent (`ON CONFLICT`).
+- `internal/retention.AssignClass`/`CurrentClass`/`ClassHistory`.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Migration vorwärts und rückwärts getestet | **bestanden** — `TestMigration_ForwardAndBackward`: real gegen die tatsächlichen Migrationsdateien (nicht nachgebaut), vorwärts→Tabellen vorhanden, rückwärts→Tabellen weg, erneut vorwärts→sauber (kein Rest blockiert erneuten Lauf) |
+| 2 | Testobjekt aus fiktivem DMS- und Mail-Adapter beide korrekt abgebildet | **bestanden** — `TestRegisterObject_MapsDMSAndMailAdapterObjectsIdentically`: `dms_document`/`mail_message` beide ohne modulspezifische Spalten abgebildet, zusätzlich Idempotenz bewiesen (erneute Registrierung liefert dieselbe ID) |
+| 3 | Tenant-Isolation der Kern-Tabellen durch Negativtest belegt | **bestanden** — `TestTenantIsolation_Negativtest`: reales zweites Tenant-DB (`ret01_tenant_test_b`), Objekt aus Tenant A über Verbindung zu Tenant B abgefragt, `count=0` — technisch nicht sichtbar, keine gemeinsame Tabelle mit `tenant_id`-Filter (Modell C, TEN-01) |
+
+Zusätzlich: `TestAssignClass_IsHistoricized` — zwei Klassen-Zuordnungen,
+`CurrentClass` liefert die jüngste, `ClassHistory` beide chronologisch.
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- Migration real gegen `dms_tenant_test` angewendet (`psql -f
+  migrations/0002_retention.up.sql`) — `retention_objects`,
+  `retention_class_assignments` bestätigt vorhanden (`\dt retention*`)
+- Kein systemd-Dienst/Timer nötig — RET-01 ist reines Datenmodell +
+  Bibliothek, kein eigenständiger Prozess (Verbraucher sind spätere
+  RET-Tickets, allen voran RET-05 als Adapter-Interface)
+- Zweites Tenant-DB (`ret01_tenant_test_b`) nur für den Isolationstest
+  angelegt, danach entfernt
+
+## Build/Test-Ergebnis (192.168.1.131, `make check`)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1 -count=1  -> 8/8 Pakete mit Tests ok (backup, objectbackup, reconcile, restore, restoretest, retention, scrub, tenantbackup), 0 Fehlschläge
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt — Migration gegen die tatsächlichen
+`.sql`-Dateien (nicht nachgebaut) getestet, Mandantentrennung gegen ein
+echtes zweites Tenant-DB bewiesen. Grundlage für RET-05 (Adapter-
+Interface, als Nächstes) und RET-02 gelegt.

archive/docs/RET-02-PRUEFPROTOKOLL.md

@@ -0,0 +1,69 @@
+# RET-02 – Prüfprotokoll: Aufbewahrungsfristen-Engine
+
+Voraussetzung RET-01 – erledigt, siehe eigenes Protokoll.
+
+**Scope-Klarstellung:** Dieses Ticket ist die Fristen-BERECHNUNGS-Engine
+(Frist je Klasse, Stichtagsberechnung, periodischer Ablauf-Job) —
+`dependsOn: ["RET-01"]`, KEINE Abhängigkeit auf RET-05. Die DMS-/Mail-
+seitige Registrierung als RET-05-Adapter-Konsument sowie
+Vernichtungs-Job-Fehlerbehandlung (2xx/Requeue) sind NICHT Teil dieser
+Kachel — das ist ein späteres, eigenes Ticket (vermutlich im
+ARC-*/DOC-*-Umfeld). Bewusst nicht mitgebaut, um nicht über den
+Ticket-Umfang hinaus zu implementieren.
+
+## Grundsatzentscheidung: Postgres-INTERVAL statt eigener Kalenderrechnung
+
+`retention_class_rules.duration` ist ein natives Postgres-`INTERVAL`
+(z. B. `'10 years'`, `'6 months'`) — `ComputeDueDate` delegiert die
+gesamte Stichtagsberechnung an Postgres selbst (`start + duration`),
+statt eine eigene Schaltjahr-/Monatsende-Logik in Go nachzubauen, die
+von der WHERE-Klausel des periodischen Jobs (dieselbe Arithmetik)
+abweichen könnte. Referenzwerte für Akzeptanzkriterium 2 real gegen
+Postgres verifiziert, nicht angenommen:
+`2024-02-29 + 1 year = 2025-02-28`, `2026-01-31 + 1 month = 2026-02-28`.
+
+## Umsetzung
+
+- `migrations/0004_retention_class_rules.up.sql`/`.down.sql`.
+- `internal/retentionengine.ConfigureClassRule` — eine Regel je Klasse
+  (`UPSERT`).
+- `internal/retentionengine.ComputeDueDate` — delegiert an Postgres.
+- `internal/retentionengine.ListExpiringObjects` — periodischer Job:
+  `DISTINCT ON (retention_object_id)` auf die JÜNGSTE Klassenzuordnung
+  beschränkt, sonst würde ein Objekt mit mehrfach geänderter Klasse
+  (RET-01s Historisierung) mehrfach im Ergebnis auftauchen.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Fristberechnung an Referenzdaten mit bekannten Ablaufdaten geprüft | **bestanden** — `TestComputeDueDate_KnownReferenceDates`: Schaltjahr (29.02.2024 + 1 Jahr → 28.02.2025) und Monatsende (31.01.2026 + 1 Monat → 28.02.2026), beide Werte vorab real gegen Postgres verifiziert |
+| 2 | Job liefert bei leerem Bestand ein leeres, nicht fehlerhaftes Ergebnis | **bestanden** — `TestListExpiringObjects_EmptyBacklogReturnsEmptyNotError` |
+| 3 | Mehrfachausführung des Jobs erzeugt keine doppelten Einträge | **bestanden** — `TestListExpiringObjects_NoDuplicatesAcrossHistoricalClassChanges`: Objekt mit ZWEI historischen Klassenzuordnungen (beide abgelaufen), zwei Job-Läufe liefern je genau 1 Eintrag — ohne die `DISTINCT ON`-Einschränkung wäre es 2 gewesen |
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- Migration real gegen `dms_tenant_test` angewendet — `retention_class_rules`
+  bestätigt vorhanden neben `retention_objects`/`retention_class_assignments`
+- Kein systemd-Timer in diesem Ticket — "periodischer Job" ist die
+  Bibliotheksfunktion `ListExpiringObjects`; ihr tatsächlicher
+  Aufrufer/Zeitplan (systemd-Timer + Meldeweg für abgelaufene Objekte)
+  ist Aufgabe eines Folgetickets, das auch die Vernichtungslogik selbst
+  bringt (dieses Ticket berechnet nur, wer fällig ist — vernichtet
+  nichts)
+
+## Build/Test-Ergebnis (192.168.1.131, `make check`)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1 -count=1  -> 10/10 Pakete mit Tests ok, 0 Fehlschläge
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt — Stichtagsberechnung gegen real
+verifizierte Postgres-Referenzwerte, Job-Idempotenz gegen ein Objekt mit
+echter Mehrfach-Historie bewiesen (nicht nur behauptet).

archive/docs/RET-05-PRUEFPROTOKOLL.md

@@ -0,0 +1,94 @@
+# RET-05 – Prüfprotokoll: Modul-Adapter-Schnittstelle
+
+Voraussetzung RET-01 – erledigt, siehe eigenes Protokoll.
+
+## Grundsatzentscheidung: Interface-Freeze, keine Modul-Implementierung
+
+Nutzervorgabe: RET-05 als reines INTERFACE definieren (Registrierung,
+Rückruf für Löschbestätigung, Fehlerverhalten) — NICHT schon
+implementieren, damit spätere DMS-/Mail-Kacheln gegen ein bereits
+feststehendes, nicht nachträglich verändertes Interface bauen. Dieses
+Ticket liefert daher NUR Archives eigene Seite:
+
+- Registrierungs-API (`internal/moduleadapter.Register` +
+  `RegisterHandler`, REST-Schnittstelle laut Ticket-Technikvorgabe).
+- Rückruf-Auslöser (`NotifyDestruction`) mit feststehendem
+  Payload-Vertrag (`DestructionNotice`: `object_type`,
+  `object_reference`, `destroyed_at`).
+
+**Bewusst NICHT Teil dieses Tickets**: die eigentlichen Rückruf-
+EMPFÄNGER (DMS'/Mails Löschbestätigungs-Endpunkte) — die tatsächliche
+Vernichtungslogik, die `NotifyDestruction` aufruft (kommt mit RET-02
+und späteren Vernichtungs-Tickets), sowie Wiederholungslogik bei
+fehlgeschlagenem Rückruf (Interface-Vertrag ist klar: Erfolg = HTTP
+2xx, sonst Fehler — WIE mit einem Fehler umgegangen wird, ist
+Aufgabe des aufrufenden Vernichtungs-Jobs, nicht dieses Pakets).
+
+## Korrektur vor Abschluss: `retention_class` fehlte im ersten Entwurf
+
+Akzeptanzkriterium 1 verlangt "Objekttyp MIT Aufbewahrungsklasse UND
+Rückruf-Adresse" — der erste Entwurf von `module_registrations` und
+`Register` hatte nur `callback_url`, `retention_class` fehlte komplett.
+Vor dem Board-Flip auf „Fertig" bemerkt und korrigiert: Migration,
+`Registration`-Struct, `Register`, `ListRegistrations` und
+`RegisterHandler` um `retention_class` ergänzt, alle Tests entsprechend
+angepasst (inkl. Idempotenz-Nachweis auch für `retention_class`, nicht
+nur `callback_url`). Reale, bereits angewendete Migration auf
+`dms_tenant_test` musste dafür gedroppt und neu angewendet werden (kein
+Produktivbestand betroffen, Testsystem).
+
+## Umsetzung
+
+- `migrations/0003_module_registrations.up.sql`/`.down.sql` —
+  `module_registrations` (module_name, object_type, callback_url,
+  UNIQUE-Constraint).
+- `internal/moduleadapter.Register` — `ON CONFLICT DO NOTHING` + Nachlese
+  der bestehenden Zeile, damit eine erneute Registrierung NIE die
+  bestehende `callback_url` überschreibt (Akzeptanzkriterium 3).
+- `internal/moduleadapter.ListRegistrations`.
+- `internal/moduleadapter.NotifyDestruction` — echter HTTP-POST mit dem
+  festen `DestructionNotice`-Vertrag.
+- `internal/moduleadapter.RegisterHandler` — REST-Endpunkt
+  (`POST /register`).
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Zwei fiktive Module (DMS, Mail) parallel registriert ohne Kollision | **bestanden** — `TestRegister_TwoModulesNoCollision`: unterschiedliche IDs, `ListRegistrations` zeigt beide |
+| 2 | Rückruf bei Vernichtung erfolgreich gegen einen Testendpunkt ausgeführt | **bestanden** — `TestNotifyDestruction_CallsRealTestEndpoint`: echter `httptest.Server`, echter POST, Payload real empfangen und geprüft (`object_reference` korrekt) |
+| 3 | Erneute Registrierung desselben Objekttyps ändert nichts am bestehenden Zustand | **bestanden** — `TestRegister_IsIdempotent_UnchangedExistingState` (Go-Funktion, mit absichtlich ABWEICHENDER `callback_url` im zweiten Aufruf) UND `TestRegisterHandler_RealHTTPRoundTrip` (dieselbe Prüfung nochmal über die HTTP-Schicht, nicht nur direkt gegen die Funktion) |
+
+Zusätzlich: `TestNotifyDestruction_ReturnsErrorOnNonSuccessStatus`
+(Fehlerverhalten), `TestRegisterHandler_RejectsMissingFields`
+(REST-Schicht weist unvollständige Registrierungen ab).
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- Migration real gegen `dms_tenant_test` angewendet — `module_registrations`
+  bestätigt vorhanden
+- Kein systemd-Dienst — `RegisterHandler` ist ein `http.HandlerFunc`,
+  wird in einen künftigen Core-/Archive-HTTP-Server eingehängt, sobald
+  ein solcher für Archive existiert (aktuell kein eigener Archive-
+  API-Server, nur die bisherigen CLI/Metrics-Prozesse) — dokumentierter,
+  kein stiller Gap, entspricht dem Interface-Freeze-Charakter dieses
+  Tickets
+
+## Build/Test-Ergebnis (192.168.1.131, `make check`)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1 -count=1  -> 9/9 Pakete mit Tests ok, 0 Fehlschläge
+(nach Korrektur; internal/retention und internal/moduleadapter brauchen
+TEST_TENANT_DSN/TEST_TENANT_DSN_B bzw. TEST_TENANT_DSN)
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt — Idempotenz sowohl auf Go- als auch auf
+HTTP-Ebene bewiesen, Rückruf-Vertrag gegen einen echten Testendpunkt
+verifiziert. Bewusst als reiner Interface-Freeze umgesetzt, keine
+DMS-/Mail-seitige Implementierung — wie vom Nutzer vorgegeben.

archive/docs/RET-06-API-PRUEFPROTOKOLL.md

@@ -0,0 +1,91 @@
+# RET-06-API – Prüfprotokoll: Aufbewahrungsfristen-Konfigurations-Backend
+
+Voraussetzung RET-02 – erledigt, siehe eigenes Protokoll.
+
+**Scope-Entscheidung (Board-Rücksprache):** RET-06 verlangt Next.js/
+React-Frontend + Backend-API + RBAC. Statt eines einzigen
+Big-Scope-Tickets: **Backend-API zuerst** (dieses Protokoll), das
+echte Next.js-Frontend folgt als eigenes, separates Ticket. Diese
+Trennung wurde bewusst gewählt, damit das Prüfprotokoll nicht auf ein
+Pseudo-Frontend verweist.
+
+## Grundsatzentscheidung: provisorischer Rollen-Check, KEIN RBAC-02
+
+Core RBAC-02 (`internal/policy`, `Enforcer.Authorize`) ist reiner
+Go-Code innerhalb des Core-Moduls — keine HTTP-Schnittstelle, über die
+Archive (physisch getrenntes Go-Modul) es aufrufen könnte. Derselbe
+"gefunden, aber nicht modulübergreifend verdrahtet"-Befund wie bei Core
+FDN-03/FDN-09 (siehe frühere Prüfprotokolle).
+
+**`internal/retentionapi.RequireRole` ist AUSDRÜCKLICH KEIN RBAC-02-
+Ersatz**, sondern ein Provisorium: prüft nur einen selbst gesetzten
+Header (`X-Admin-Roles`), leicht zu fälschen von jedem, der den Header
+setzen kann. Muss ersetzt werden, sobald ein Core-seitiger HTTP-Wrapper
+um RBAC-02 existiert (Empfehlung: eigenes künftiges Core-Ticket,
+z. B. `RBAC-06`, wiederverwendbar für alle Module statt je Modul einen
+eigenen Provisorium-Check). Bis dahin real getestet inklusive
+Negativfall (Pflichtprüfung, siehe unten) — ein UNGEPRÜFTER
+Provisorium-Check wäre nur eine verschobene Schwachstelle.
+
+## Umsetzung
+
+- `migrations/0005_retention_class_rules_active.up.sql`/`.down.sql` —
+  `active`-Flag statt DELETE (Klasse deaktivieren ohne Historienverlust).
+- `internal/retentionengine.DeactivateClassRule`/`ListClassRules` —
+  Erweiterung von RET-02s Paket, `ComputeDueDate`/`ListExpiringObjects`
+  berücksichtigen nur noch aktive Regeln.
+- `internal/retentionapi.RequireRole` — provisorischer Header-Rollen-Check.
+- `internal/retentionapi.Mount` — vier Endpunkte: `POST
+  /retention-classes` (anlegen/ändern), `POST
+  /retention-classes/{class}/deactivate`, `GET /retention-classes`
+  (Liste), `GET /retention-classes/preview` (Vorschau, nutzt DIESELBE
+  `ListExpiringObjects`-Funktion wie RET-02s periodischer Job).
+- `cmd/retention-api` — eigenständiger HTTP-Dienst.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Änderung einer Frist wirkt sich nur auf künftige Berechnungen aus, nicht rückwirkend auf bereits protokollierte Vernichtungen | **bestanden** — `TestConfigureClassRule_ChangeAppliesOnlyToFutureCalculations`: bereits berechneter Stichtag bleibt unverändert (strukturell garantiert, keine Tabelle mit "bereits berechneten" Werten existiert, die rückwirkend verändert werden könnte), NEUE Berechnung übernimmt die neue Frist |
+| 2 | Nicht berechtigte Rolle erhält keinen Zugriff auf die Konfiguration | **bestanden** — `TestRequireRole_MissingRoleReturns403` (kein Header UND falsche Rolle, beide 403) UND `TestRequireRole_CorrectRoleAllowsAccess` (Gegentest); real auf 131: `curl` ohne Rollen-Header → 403 |
+| 3 | Vorschauliste stimmt mit dem Ergebnis des periodischen Jobs überein | **bestanden** — `TestPreviewHandler_MatchesPeriodicJobResult`: HTTP-Vorschau UND direkter `ListExpiringObjects`-Aufruf liefern dasselbe Objekt (dieselbe Funktion, kein Doppel-Code) |
+
+Zusätzlich: `TestDeactivateClassRule_ExcludesFromFutureCalculations`,
+`TestConfigureAndListHandler_RealHTTPRoundTrip`,
+`TestDeactivateHandler_RealHTTPRoundTrip`.
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- `retention-api` gebaut nach `/opt/nexarch-archive/bin/`
+- `/etc/nexarch/archive-retention-api.env` (0600)
+- `nexarch-archive-retention-api.service` installiert/aktiviert
+  (dauerhaft, `Restart=on-failure`)
+- Realer End-zu-Ende-Test via `curl`: POST ohne Rollen-Header → 403;
+  POST mit `X-Admin-Roles: archive_admin` → 200, Klasse angelegt; `GET
+  /retention-classes` zeigt sie; `GET /retention-classes/preview`
+  liefert `null` (kein fälliges Objekt, korrekt leer) — Testdaten
+  anschließend entfernt
+
+## Build/Test-Ergebnis (192.168.1.131, `make check`)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1 -count=1  -> 11/11 Pakete mit Tests ok, 0 Fehlschläge
+```
+
+**Hinweis:** Zwei Pakete (`internal/retentionengine`,
+`internal/retentionapi`) gegen dieselbe reale Tenant-DB laufen zu lassen
+erfordert `-p 1` (sequentiell) — parallele Testläufe unterschiedlicher
+Pakete gegen dieselbe echte Datenbank führen sonst zu
+Cross-Test-Kontamination (TRUNCATE eines Pakets während ein anderes
+noch liest/schreibt). `make check`/`Makefile` erzwingt das bereits.
+
+## Gesamtergebnis
+
+**Bestanden — Backend-Scope.** Alle drei Pflichtprüfungen real erfüllt.
+**Offen, bewusst nicht Teil dieses Protokolls:** das Next.js/React-
+Frontend (separates Folgeticket) und der Ersatz des provisorischen
+Rollen-Checks durch einen echten RBAC-02-Aufruf, sobald Core einen
+HTTP-Wrapper dafür bereitstellt.

archive/docs/RET-06-PRUEFPROTOKOLL.md

@@ -0,0 +1,58 @@
+# RET-06 – Prüfprotokoll: Aufbewahrungsfristen-Konfigurationsoberfläche
+
+Voraussetzung RET-02, RET-06-API, RET-08 (RBAC-Migration) – alle
+bereits Fertig. RET-08 hat das Header-Provisorium in RET-06-API bereits
+durch einen echten Aufruf von Core RBAC-06 ersetzt – dieses Ticket
+testet daher von Anfang an gegen echte RBAC-Autorisierung, nicht gegen
+ein Provisorium (siehe RET-08-Prüfprotokoll).
+
+## Umsetzung
+
+- `web/retention-admin` – eigenständige Next.js/React/TypeScript-App
+  (kein `/admin`-Annex im Go-Backend), analog zu `web/notifications`
+  (CFG-04) und `web/lic-admin` (LIC-04), aufbauend auf `web/shl`
+  (SHL-01, gemeinsames Design-System).
+- `lib/api.ts` – dünner Client für RET-06-API. Reicht die vom Nutzer
+  beanspruchte Rolle über `X-User-Role` durch (RET-08 prüft sie gegen
+  RBAC-06), trifft selbst keine Autorisierungsentscheidung. Wirft
+  `ForbiddenError` bei HTTP 403, getrennt von generischen `ApiError`s.
+- `app/classes/page.tsx` – Akzeptanzkriterium 1: Aufbewahrungsklasse
+  anlegen/ändern (ein Formular, Backend-UPSERT) und deaktivieren.
+  Akzeptanzkriterium 3: `ForbiddenError` führt zu einer expliziten
+  "Zugriff verweigert"-Anzeige, nicht zu einer leeren Tabelle.
+- `app/preview/page.tsx` – Akzeptanzkriterium 2: Vorschauliste über
+  `/retention-classes/preview`, dieselbe Funktion wie der periodische
+  Job (RET-02/RET-06-API), keine eigene Berechnung im Frontend.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Änderung einer Frist wirkt nur auf künftige Berechnungen, nicht rückwirkend | **bestanden (Backend-seitig bereits durch RET-02/RET-06-API bewiesen)** – Frontend ruft ausschließlich den bestehenden UPSERT-Endpunkt auf, keine eigene Berechnungslogik im Frontend, die dies unterlaufen könnte |
+| 2 | Nicht berechtigte Rolle erhält keinen Zugriff auf die Konfiguration | **bestanden – expliziter 403-Nachweis, nicht nur der 200-Fall:** `lib/api.test.ts`, `describe("api client - 403-Nachweis (keine berechtigte Rolle)")` – zwei Tests (`fetchClassRules`, `configureClassRule`) mit real gemockter 403-HTTP-Antwort, beide werfen `ForbiddenError`; `ClassesPage`/`PreviewPage` fangen `ForbiddenError` ab und zeigen `role="alert"` "Zugriff verweigert" statt einer leeren/stillen Seite. Der 403-Vertrag selbst (RET-06-API antwortet real mit 403 bei fehlender RBAC-06-Berechtigung) ist bereits in RET-08 end-zu-ende gegen den laufenden Dienst auf 131 bewiesen (`curl` ohne Policy-Rule → 403) – dieses Ticket prüft, dass das Frontend diesen real existierenden Vertrag korrekt behandelt, nicht das Backend erneut |
+| 3 | Vorschauliste stimmt mit dem Ergebnis des periodischen Jobs überein | **bestanden (Backend-seitig bereits durch RET-06-API bewiesen)** – `PreviewPage` ruft exakt denselben `/retention-classes/preview`-Endpunkt auf, der intern `retentionengine.ListExpiringObjects` verwendet (identische Funktion wie der periodische Job), keine zweite Implementierung im Frontend |
+
+## Build/Test-Ergebnis (lokal, node v22.16.0/npm 10.9.2 – bereits installiert)
+
+```
+npx tsc --noEmit          -> clean (eigener Code; siehe Hinweis)
+npx next build            -> Compiled successfully, 3 Routen (/, /classes, /preview)
+npx vitest run            -> 3/3 Tests bestanden
+```
+
+**Hinweis:** `web/shl` (SHL-01, bereits Fertig) hatte kein eigenes
+`node_modules` im Checkout – ohne `npm install` dort lieferte `tsc`
+kaskadierende "Cannot find module 'react'"-Fehler in shl-eigenen
+Dateien, nicht durch RET-06 verursacht. Für den lokalen Testlauf wurde
+`npm install` in `web/shl` ausgeführt (kein Code-Umbau, nur Abhängigkeiten
+installiert); `web/shl/package-lock.json` wurde dadurch neu erzeugt,
+aber bewusst NICHT mitcommittet (gehört zu SHL-01, nicht zu diesem
+Ticket – kein Umbau angrenzender Bereiche).
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien real erfüllt, insbesondere
+der explizit geforderte negative 403-Fall (nicht nur der Erfolgsfall)
+sowie die eigenständige Next.js-App-Struktur (kein Backend-Annex).
+Frontend testet von Anfang an gegen die durch RET-08 real hergestellte
+RBAC-06-Autorisierung, nicht gegen ein Provisorium.

archive/docs/RET-07-PRUEFPROTOKOLL.md

@@ -0,0 +1,91 @@
+# RET-07 – Prüfprotokoll: Fristablauf-Benachrichtigungen
+
+Voraussetzung RET-02, CFG-05 – beide bereits Fertig.
+
+## Abweichung vom ursprünglichen Ticket-Text (bewusst, dokumentiert)
+
+Der ursprüngliche Ticket-Text sprach von einer direkten "Kopplung an
+Core CFG-02 (Postgres-Job-Queue, E-Mail-Versand)". Zum Zeitpunkt der
+Umsetzung war CFG-05 (HTTP-Wrapper für CFG-02/CFG-04) bereits Fertig
+und der korrekte, tatsächlich nutzbare Weg — CFG-02s
+`internal/notify.Dispatcher` ist reiner Go-Code im Core-Modul, Archive
+kann ihn als physisch getrenntes Modul nicht direkt importieren (siehe
+CFG-05-Prüfprotokoll). RET-07 ruft daher `POST /notify/enqueue`
+(CFG-05) auf, nicht `internal/notify` direkt. Board-Text (`dependsOn`,
+Beschreibung) wurde vor Umsetzung entsprechend aktualisiert.
+
+**Empfänger-Klarstellung:** Der ursprüngliche Ticket-Text sprach von
+"verantwortlichen Personen". `retention_objects` (RET-01) führt bewusst
+KEINE Objekt-Owner-Beziehung. Die Benachrichtigung geht daher an eine
+je Tenant konfigurierte zuständige Rolle (Tenant-Admin,
+`NEXARCH_RETENTION_NOTIFY_ADMIN_EMAIL`), nicht an einen individuellen
+Objekt-Owner. Board-Text wurde vor Umsetzung entsprechend präzisiert
+(Akzeptanzkriterium 1).
+
+## Umsetzung
+
+- `archive/migrations/0006_retention_notify.up/down.sql` –
+  `retention_class_rules.notify_lead_days`/`notify_enabled`
+  (Akzeptanzkriterium 3) und `retention_notifications`
+  (Postgres-persistente Dedupe-Tabelle, Akzeptanzkriterium 2 – übersteht
+  Job-Neustarts).
+- `archive/internal/notifyclient` – schlanker HTTP-Client für CFG-05
+  (gleiches Muster wie `rbacclient`/RET-08 für RBAC-06).
+- `archive/internal/retentionnotify.Run` – EIN Durchlauf: lädt
+  Klassenregeln, ermittelt fällige Objekte über
+  `retentionengine.ListExpiringObjects` (DIESELBE Funktion wie
+  RET-02-Job/RET-06-API-Preview, kein zweiter Ermittlungspfad), filtert
+  je Klasse nach deren eigenem Vorlauf und Ein/Aus-Schalter,
+  überspringt bereits benachrichtigte Objekte, löst pro verbleibendem
+  Objekt EIN CFG-05-Ereignis aus. Bei Zustellfehler: KEIN Eintrag in
+  `retention_notifications` (Retry beim nächsten Durchlauf), Fehler wird
+  im `Result` zurückgegeben, nicht verworfen.
+- `archive/cmd/retention-notify-job` – one-shot CLI (systemd-Timer,
+  analog `scrub-cli`/BAK-08), protokolliert jedes Ergebnis inkl.
+  Fehler über `log.Printf`.
+- `deploy/systemd/nexarch-archive-retention-notify.{service,timer}.tmpl`.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Testfrist mit kurzem Vorlauf löst genau eine Benachrichtigung aus | **bestanden** – `TestRun_ShortLeadTimeTriggersExactlyOneNotification`: fake-CFG-05-Server zählt Aufrufe, genau 1; real auf 131: Testobjekt mit 1-Tage-Frist/1-Tage-Vorlauf, Job manuell gestartet, `journalctl` zeigt genau eine Benachrichtigung mit echter `job_id`, echte Zeile in Core-`notification_jobs` (Status `pending`) bestätigt |
+| 2 | Deaktivierte Benachrichtigung verschickt nachweislich nichts | **bestanden** – `TestRun_DisabledNotificationSendsNothing`: `notify_enabled=false`, 0 Ergebnisse, 0 CFG-05-Aufrufe (Zähler geprüft, nicht nur "kein Fehler") |
+| 3 | Fehlgeschlagener Versand wird protokolliert und nicht stillschweigend verworfen | **bestanden** – `TestRun_FailedDeliveryIsReportedNotSwallowed`: fake-CFG-05-Server liefert 500, `Result.Err` gesetzt, KEIN Eintrag in `retention_notifications` (Objekt bleibt für Retry offen); `cmd/retention-notify-job` protokolliert jeden Fehler explizit über `log.Printf` |
+
+**Akzeptanzkriterium 2 zusätzlich real auf 131 bewiesen:** Job zweimal
+hintereinander gestartet (simulierter Neustart, kein In-Memory-Zustand
+zwischen den systemd-Aufrufen) — zweiter Lauf liefert 0 Ergebnisse,
+`journalctl` bestätigt, kein zweiter CFG-05-Aufruf.
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- Migration `0006_retention_notify` real auf `dms_tenant_test`
+  angewendet.
+- `retention-notify-job` gebaut nach `/opt/nexarch-archive/bin/`,
+  `/etc/nexarch/archive-retention-notify.env` (0600).
+- `nexarch-archive-retention-notify.timer` installiert/aktiviert
+  (täglich 07:00 UTC, `Persistent=true`), zugehöriger
+  `nexarch-archive-retention-notify.service` (`Type=oneshot`).
+- Realer End-zu-Ende-Nachweis: Testklasse mit 1-Tage-Vorlauf, fälliges
+  Testobjekt angelegt, Dienst manuell gestartet → echte Benachrichtigung
+  über CFG-05, echte `notification_jobs`-Zeile in der Core-Registry-DB,
+  echte `retention_notifications`-Zeile in der Tenant-DB, zweiter
+  Dienststart → 0 Ergebnisse. Alle Testdaten anschließend entfernt.
+
+## Build/Test-Ergebnis (192.168.1.131)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1  -> alle Archive-Pakete bestanden (inkl. retentionnotify, objectbackup, restoretest)
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt, inklusive echtem systemd-Timer-Deploy
+und End-zu-Ende-Nachweis über zwei physisch getrennte Module (Archive
+→ CFG-05 → Core-Queue) sowie eines simulierten Job-Neustarts ohne
+Doppelversand.

archive/docs/RET-08-PRUEFPROTOKOLL.md

@@ -0,0 +1,70 @@
+# RET-08 – Prüfprotokoll: RET-06-API auf RBAC-06 migrieren (Provisorium abbauen)
+
+Voraussetzung RBAC-06 (Core) und RET-06-API – beide bereits Fertig.
+
+## Umsetzung
+
+- `archive/internal/rbacclient` (neu) – schlanker HTTP-Client für Core
+  RBAC-06 (`POST /authorize`), service-token-authentifiziert. Archive
+  ist ein physisch getrenntes Go-Modul, kann `internal/policy` daher
+  nicht direkt importieren.
+- `archive/internal/retentionapi/authz.go` – `RequireRole` (Header-
+  Provisorium) ersetzt durch `RequireRBAC(client, permission, next)`.
+  Liest weiterhin eine vom Aufrufer beanspruchte Rolle aus einem
+  Header (jetzt `X-User-Role` statt `X-Admin-Roles`), aber die
+  eigentliche Entscheidung trifft jetzt `rbacclient.Client.Authorize`
+  gegen echte `policy_rules` in Core RBAC-02/RBAC-06 – nicht mehr nur
+  das Vorhandensein des Headers selbst.
+- **Fail-closed:** jeder Fehler beim Aufruf von RBAC-06 (Transport,
+  Timeout, unerwarteter Status, explizite Ablehnung) führt zu 403,
+  niemals zu stillschweigendem Zugriff.
+- `archive/internal/retentionapi/handler.go` – `Mount` nimmt jetzt
+  zusätzlich einen `*rbacclient.Client` entgegen, alle vier Endpunkte
+  gegen dasselbe Recht `retention.configure` geprüft.
+- `archive/cmd/retention-api/main.go` – neue Pflicht-Env-Variablen
+  `NEXARCH_RETENTION_RBAC_BASE_URL`, `NEXARCH_RETENTION_RBAC_SERVICE_TOKEN`.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | 403-Nachweis gegen echte Policy-Rules über RBAC-06, nicht nur Header | **bestanden** – `TestRequireRBAC_DeniedRoleReturns403` (fehlender Header UND unbekannte Rolle gegen eine echte fake-RBAC-06-HTTP-Antwort); real auf 131: `curl` mit `X-User-Role: archive_admin` ohne existierende `policy_rules`-Zeile → 403, mit real per `INSERT INTO policy_rules` gesetzter Regel → 200, nach `DELETE` wieder 403 |
+| 2 | Bestehende RET-06-API-Tests laufen weiterhin grün nach der Migration | **bestanden** – `TestConfigureAndListHandler_RealHTTPRoundTrip`, `TestDeactivateHandler_RealHTTPRoundTrip`, `TestPreviewHandler_MatchesPeriodicJobResult` alle unverändert grün (Mount jetzt mit fake-RBAC-06-Server statt Header-Provisorium) |
+| 3 | Ausfall von RBAC-06 führt zu Ablehnung, kein Fallback auf offenen Zugriff | **bestanden** – `TestRequireRBAC_UnreachableRBACFailsClosed`: `rbacclient.Client` zeigt auf nicht erreichbaren Endpunkt (`http://127.0.0.1:1`), Handler nachweislich nie erreicht, Antwort 403 |
+
+## Echte Verdrahtung auf 192.168.1.131
+
+- `retention-api` neu gebaut, `/etc/nexarch/archive-retention-api.env`
+  um `NEXARCH_RETENTION_RBAC_BASE_URL=http://127.0.0.1:8093` und
+  `NEXARCH_RETENTION_RBAC_SERVICE_TOKEN` (identischer Wert wie
+  `policy-api`s `NEXARCH_POLICY_SERVICE_TOKEN`) ergänzt, Dienst
+  neugestartet – real aktiv, spricht real mit dem laufenden
+  `nexarch-policy-api.service` (RBAC-06).
+- End-zu-Ende-Beweis: `curl` ohne `X-User-Role` → 403; mit Rolle, aber
+  ohne `policy_rules`-Eintrag → 403 (real gegen RBAC-06 geprüft, nicht
+  nur Header-Vorhandensein); nach realem `INSERT INTO policy_rules`
+  (Rolle `archive_admin`, Recht `retention.configure`) → 200; Testregel
+  anschließend real gelöscht, danach wieder 403 bestätigt.
+- Test-Rolle `nexarch_test` auf 131 hatte kein bekanntes Passwort mehr
+  (frühere Sitzung, nicht dokumentiert) – nach Nutzerfreigabe per
+  `ALTER ROLE ... PASSWORD` neu gesetzt, dokumentiert hier als
+  Betriebsschritt für künftige Testläufe.
+
+## Build/Test-Ergebnis (192.168.1.131)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+go test ./... -p 1  -> alle Pakete bestanden (inkl. objectbackup, restoretest, retentionapi)
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
+Pflichtprüfungen real erfüllt. Das in RET-06-API dokumentierte
+Provisorium ist vollständig abgebaut – Änderungen an
+Aufbewahrungsfristen sind jetzt über echte, modulübergreifende
+RBAC-02/RBAC-06-Entscheidungen geschützt, nicht mehr über einen selbst
+setzbaren Header. RET-06 (Frontend) ist damit ohne weiteren
+RBAC-Blocker startbar.

archive/internal/backup/retention.go

@@ -0,0 +1,89 @@
+package backup
+
+import (
+	"fmt"
+	"sort"
+	"time"
+)
+
+// RetentionPolicy ist BAK-07s gestaffelte Aufbewahrungsfrist für
+// Datenbank-Sicherungsgenerationen — unabhängig von RET-02s
+// Dokumenten-Retention (Akzeptanzkriterium 1). Ein Feldwert 0 bedeutet
+// "diese Stufe nicht anwenden", dieselbe Konvention wie
+// objectbackup.RetentionPolicy (BAK-02), damit beide Backup-Arten
+// gleich konfiguriert werden.
+type RetentionPolicy struct {
+	KeepDaily   int
+	KeepWeekly  int
+	KeepMonthly int
+}
+
+// PruneTiered wählt aus generations (IDs im NewGenerationID-Format) die
+// zu BEHALTENDEN nach gestaffelter GFS-Regel: je Granularität
+// (Tag/Woche/Monat) wird pro Zeitfenster die NEUESTE Generation
+// behalten, bis die konfigurierte Anzahl Fenster erreicht ist — reine
+// Funktion, keine Dateisystem-/Netzwerkzugriffe, dadurch ohne echte
+// Infrastruktur testbar (Rotate in rotate.go führt die tatsächliche
+// Löschung anhand des Ergebnisses aus).
+//
+// Sicherheitsnetz für Akzeptanzkriterium 3 ("mindestens ein aktueller
+// Snapshot bleibt erhalten"): die NEUESTE Generation wird IMMER
+// behalten, unabhängig von der konfigurierten Staffelung — selbst bei
+// versehentlich auf 0 gesetzter Policy geht nie die letzte Sicherung
+// verloren.
+func PruneTiered(generations []string, policy RetentionPolicy) (keep, remove []string) {
+	type parsed struct {
+		id string
+		t  time.Time
+	}
+	var items []parsed
+	for _, id := range generations {
+		t, err := time.Parse("20060102T150405Z", id)
+		if err != nil {
+			continue // unbekanntes Format wird ignoriert, nicht geloescht
+		}
+		items = append(items, parsed{id: id, t: t})
+	}
+	sort.Slice(items, func(i, j int) bool { return items[i].t.After(items[j].t) }) // neueste zuerst
+
+	keepSet := make(map[string]bool)
+	if len(items) > 0 {
+		keepSet[items[0].id] = true // Sicherheitsnetz: immer die neueste
+	}
+
+	applyTier := func(bucketKey func(time.Time) string, n int) {
+		if n <= 0 {
+			return
+		}
+		seen := make(map[string]bool)
+		count := 0
+		for _, it := range items {
+			if count >= n {
+				break
+			}
+			key := bucketKey(it.t)
+			if seen[key] {
+				continue
+			}
+			seen[key] = true
+			count++
+			keepSet[it.id] = true
+		}
+	}
+
+	applyTier(func(t time.Time) string { return t.Format("2006-01-02") }, policy.KeepDaily)
+	applyTier(func(t time.Time) string {
+		y, w := t.ISOWeek()
+		return fmt.Sprintf("%04d-W%02d", y, w)
+	}, policy.KeepWeekly)
+	applyTier(func(t time.Time) string { return t.Format("2006-01") }, policy.KeepMonthly)
+
+	for _, it := range items {
+		if keepSet[it.id] {
+			keep = append(keep, it.id)
+		} else {
+			remove = append(remove, it.id)
+		}
+	}
+	return keep, remove
+}

archive/internal/backup/retention_test.go

@@ -0,0 +1,130 @@
+package backup
+
+import (
+	"os"
+	"path/filepath"
+	"testing"
+	"time"
+)
+
+func genID(t time.Time) string { return NewGenerationID(t) }
+
+// TestPruneTiered_KeepsCorrectStaggering ist Pruefung 1: Prune-Test mit
+// simulierten Snapshots ueber mehrere Altersstufen ergibt korrekte
+// Staffelung.
+func TestPruneTiered_KeepsCorrectStaggering(t *testing.T) {
+	now := time.Date(2026, 8, 30, 12, 0, 0, 0, time.UTC)
+
+	var generations []string
+	// 20 taegliche generationen der letzten 20 Tage.
+	for i := 0; i < 20; i++ {
+		generations = append(generations, genID(now.Add(-time.Duration(i)*24*time.Hour)))
+	}
+	// zusaetzlich aeltere, wochenweise verteilte generationen (Wochen 4-15
+	// zurueck), damit KeepWeekly etwas zu greifen hat, das KeepDaily nicht
+	// schon abdeckt.
+	for w := 4; w <= 15; w++ {
+		generations = append(generations, genID(now.Add(-time.Duration(w*7)*24*time.Hour)))
+	}
+	// und einige monatealte generationen.
+	for m := 3; m <= 10; m++ {
+		generations = append(generations, genID(now.AddDate(0, -m, 0)))
+	}
+
+	policy := RetentionPolicy{KeepDaily: 7, KeepWeekly: 4, KeepMonthly: 6}
+	keep, remove := PruneTiered(generations, policy)
+
+	if len(keep)+len(remove) != len(generations) {
+		t.Fatalf("keep+remove = %d, want %d (gesamtzahl)", len(keep)+len(remove), len(generations))
+	}
+	// Genau die 7 juengsten taeglichen generationen muessen behalten sein.
+	keepSet := make(map[string]bool, len(keep))
+	for _, k := range keep {
+		keepSet[k] = true
+	}
+	for i := 0; i < 7; i++ {
+		id := genID(now.Add(-time.Duration(i) * 24 * time.Hour))
+		if !keepSet[id] {
+			t.Fatalf("generation %q (tag %d) haette per KeepDaily behalten werden muessen", id, i)
+		}
+	}
+	// Zu weit zurueckliegende taegliche generationen (ausserhalb aller
+	// Stufen) duerfen NICHT behalten sein.
+	tooOld := genID(now.Add(-19 * 24 * time.Hour))
+	if keepSet[tooOld] {
+		t.Fatalf("generation %q haette NICHT behalten werden duerfen (zu alt fuer jede stufe)", tooOld)
+	}
+	if len(keep) == 0 {
+		t.Fatal("erwartet mindestens eine behaltene generation")
+	}
+}
+
+// TestPruneTiered_AlwaysKeepsNewest ist das Sicherheitsnetz fuer
+// Akzeptanzkriterium 3 (mindestens ein aktueller Snapshot bleibt immer
+// erhalten) - selbst bei Policy 0/0/0 (versehentlich deaktiviert).
+func TestPruneTiered_AlwaysKeepsNewest(t *testing.T) {
+	now := time.Date(2026, 8, 30, 12, 0, 0, 0, time.UTC)
+	generations := []string{genID(now), genID(now.Add(-48 * time.Hour))}
+
+	keep, remove := PruneTiered(generations, RetentionPolicy{})
+
+	if len(keep) != 1 || keep[0] != genID(now) {
+		t.Fatalf("erwartet genau die neueste generation behalten, habe keep=%v", keep)
+	}
+	if len(remove) != 1 {
+		t.Fatalf("erwartet 1 entfernte generation, habe %d", len(remove))
+	}
+}
+
+// TestPruneTiered_DeterministicForIdenticalInput - zwei Laeufe mit
+// identischer Eingabe liefern dasselbe Ergebnis.
+func TestPruneTiered_DeterministicForIdenticalInput(t *testing.T) {
+	now := time.Date(2026, 8, 30, 12, 0, 0, 0, time.UTC)
+	var generations []string
+	for i := 0; i < 10; i++ {
+		generations = append(generations, genID(now.Add(-time.Duration(i)*24*time.Hour)))
+	}
+	policy := RetentionPolicy{KeepDaily: 3}
+
+	keep1, remove1 := PruneTiered(generations, policy)
+	keep2, remove2 := PruneTiered(generations, policy)
+
+	if len(keep1) != len(keep2) || len(remove1) != len(remove2) {
+		t.Fatal("unterschiedliches ergebnis zwischen zwei laeufen mit identischer eingabe")
+	}
+}
+
+// TestPruneRotate_DeletesOnlyExpiredGenerations ist Pruefung 2:
+// automatisierte Loeschung abgelaufener Snapshots im Test nachgewiesen -
+// real gegen echte Verzeichnisse.
+func TestPruneRotate_DeletesOnlyExpiredGenerations(t *testing.T) {
+	backupDir := t.TempDir()
+	now := time.Date(2026, 8, 30, 12, 0, 0, 0, time.UTC)
+
+	var recent, expired string
+	for i := 0; i < 3; i++ {
+		id := genID(now.Add(-time.Duration(i) * 24 * time.Hour))
+		if err := os.MkdirAll(filepath.Join(backupDir, id, FullBackupDirName), 0o750); err != nil {
+			t.Fatal(err)
+		}
+		recent = id
+	}
+	expired = genID(now.Add(-60 * 24 * time.Hour))
+	if err := os.MkdirAll(filepath.Join(backupDir, expired, FullBackupDirName), 0o750); err != nil {
+		t.Fatal(err)
+	}
+
+	removed, err := PruneRotate(backupDir, RetentionPolicy{KeepDaily: 3})
+	if err != nil {
+		t.Fatalf("prunerotate: %v", err)
+	}
+	if len(removed) != 1 || removed[0] != expired {
+		t.Fatalf("erwartet genau die abgelaufene generation %q entfernt, habe %v", expired, removed)
+	}
+	if _, err := os.Stat(filepath.Join(backupDir, recent)); err != nil {
+		t.Fatalf("juengste generation faelschlich entfernt: %v", err)
+	}
+	if _, err := os.Stat(filepath.Join(backupDir, expired)); !os.IsNotExist(err) {
+		t.Fatal("abgelaufene generation wurde nicht tatsaechlich vom dateisystem entfernt")
+	}
+}

archive/internal/backup/rotate.go

@@ -54,3 +54,23 @@ func Rotate(backupDir string, keep int) (removed []string, err error) {
 	}
 	return removed, nil
 }
+
+// PruneRotate wendet BAK-07s gestaffelte RetentionPolicy (PruneTiered,
+// siehe retention.go) tatsächlich an — entfernt alle nicht mehr zu
+// behaltenden Generationsverzeichnisse. Automatisierte Löschung nach
+// Ablauf der Frist (Akzeptanzkriterium 2), unabhängig von RET-02s
+// Dokumenten-Retention.
+func PruneRotate(backupDir string, policy RetentionPolicy) (removed []string, err error) {
+	generations, err := ListGenerations(backupDir)
+	if err != nil {
+		return nil, err
+	}
+	_, toRemove := PruneTiered(generations, policy)
+	for _, gen := range toRemove {
+		if err := os.RemoveAll(filepath.Join(backupDir, gen)); err != nil {
+			return removed, fmt.Errorf("backup: generation %q entfernen: %w", gen, err)
+		}
+		removed = append(removed, gen)
+	}
+	return removed, nil
+}

archive/internal/moduleadapter/handler.go

@@ -0,0 +1,46 @@
+package moduleadapter
+
+import (
+	"encoding/json"
+	"net/http"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+type registerRequest struct {
+	ModuleName     string `json:"module_name"`
+	ObjectType     string `json:"object_type"`
+	RetentionClass string `json:"retention_class"`
+	CallbackURL    string `json:"callback_url"`
+}
+
+// RegisterHandler ist die REST-Schnittstelle (Ticket-Technikvorgabe), über
+// die ein Modul einen Objekttyp registriert (Akzeptanzkriterium 1).
+// POST /register mit JSON-Body {module_name, object_type, callback_url}.
+func RegisterHandler(pool *pgxpool.Pool) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		if r.Method != http.MethodPost {
+			http.Error(w, "method not allowed", http.StatusMethodNotAllowed)
+			return
+		}
+		var req registerRequest
+		if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+			http.Error(w, "ungültiger request-body: "+err.Error(), http.StatusBadRequest)
+			return
+		}
+		if req.ModuleName == "" || req.ObjectType == "" || req.RetentionClass == "" || req.CallbackURL == "" {
+			http.Error(w, "module_name, object_type, retention_class und callback_url sind pflichtfelder", http.StatusBadRequest)
+			return
+		}
+
+		reg, err := Register(r.Context(), pool, req.ModuleName, req.ObjectType, req.RetentionClass, req.CallbackURL)
+		if err != nil {
+			http.Error(w, err.Error(), http.StatusInternalServerError)
+			return
+		}
+
+		w.Header().Set("Content-Type", "application/json")
+		w.WriteHeader(http.StatusOK)
+		_ = json.NewEncoder(w).Encode(reg)
+	}
+}

archive/internal/moduleadapter/handler_test.go

@@ -0,0 +1,67 @@
+package moduleadapter
+
+import (
+	"bytes"
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"testing"
+)
+
+// TestRegisterHandler_RealHTTPRoundTrip beweist die REST-Schnittstelle
+// (Ticket-Technikvorgabe) end-to-end: echter HTTP-Server, echter POST,
+// zweiter POST mit abweichender callback_url aendert nichts (Pruefung 3
+// auch ueber die HTTP-Schicht, nicht nur die Go-Funktion direkt).
+func TestRegisterHandler_RealHTTPRoundTrip(t *testing.T) {
+	pool := requireTestPool(t)
+	server := httptest.NewServer(RegisterHandler(pool))
+	defer server.Close()
+
+	post := func(body registerRequest) (int, Registration) {
+		t.Helper()
+		data, _ := json.Marshal(body)
+		resp, err := http.Post(server.URL, "application/json", bytes.NewReader(data))
+		if err != nil {
+			t.Fatalf("post: %v", err)
+		}
+		defer func() { _ = resp.Body.Close() }()
+		var reg Registration
+		if resp.StatusCode == http.StatusOK {
+			if err := json.NewDecoder(resp.Body).Decode(&reg); err != nil {
+				t.Fatalf("antwort dekodieren: %v", err)
+			}
+		}
+		return resp.StatusCode, reg
+	}
+
+	status1, reg1 := post(registerRequest{ModuleName: "dms", ObjectType: "document", RetentionClass: "klasse-original", CallbackURL: "https://dms.example.test/original"})
+	if status1 != http.StatusOK {
+		t.Fatalf("erster post: status = %d, want 200", status1)
+	}
+
+	status2, reg2 := post(registerRequest{ModuleName: "dms", ObjectType: "document", RetentionClass: "klasse-ANDERE", CallbackURL: "https://dms.example.test/andere"})
+	if status2 != http.StatusOK {
+		t.Fatalf("zweiter post: status = %d, want 200", status2)
+	}
+	if reg2.ID != reg1.ID || reg2.CallbackURL != "https://dms.example.test/original" {
+		t.Fatalf("zweiter post veraenderte bestehenden zustand: %+v, erster war %+v", reg2, reg1)
+	}
+}
+
+// TestRegisterHandler_RejectsMissingFields ist Nachweis des
+// Fehlerverhaltens auf der REST-Schicht.
+func TestRegisterHandler_RejectsMissingFields(t *testing.T) {
+	pool := requireTestPool(t)
+	server := httptest.NewServer(RegisterHandler(pool))
+	defer server.Close()
+
+	data, _ := json.Marshal(registerRequest{ModuleName: "dms"})
+	resp, err := http.Post(server.URL, "application/json", bytes.NewReader(data))
+	if err != nil {
+		t.Fatalf("post: %v", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusBadRequest {
+		t.Fatalf("status = %d, want 400 bei fehlenden pflichtfeldern", resp.StatusCode)
+	}
+}

archive/internal/moduleadapter/moduleadapter.go

@@ -0,0 +1,121 @@
+// Package moduleadapter implementiert RET-05: die Schnittstelle, über
+// die DMS und Mail ihre Objekttypen bei Archive registrieren, statt
+// eigene Retention-Logik zu bauen. BEWUSST NUR DAS INTERFACE UND
+// ARCHIVES EIGENE SEITE (Registrierungs-API + Rückruf-Auslöser) — die
+// eigentlichen Rückruf-EMPFÄNGER (DMS'/Mails Löschbestätigungs-Endpunkte)
+// sind NICHT Teil dieses Tickets, damit spätere DMS-/Mail-Kacheln
+// gegen ein bereits feststehendes, nicht nachträglich verändertes
+// Interface bauen (Nutzervorgabe).
+package moduleadapter
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"fmt"
+	"net/http"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Registration ist EIN registrierter Objekttyp eines Moduls.
+type Registration struct {
+	ID             string
+	ModuleName     string
+	ObjectType     string
+	RetentionClass string
+	CallbackURL    string
+}
+
+// Register registriert einen Objekttyp eines Moduls mit Rückruf-Adresse
+// für Löschbestätigung — mandantenfähig durch Modell C (physisch
+// isolierte Tenant-DB, kein tenant_id-Feld nötig). Idempotent im Sinne
+// von Akzeptanzkriterium 3: eine erneute Registrierung DESSELBEN
+// Objekttyps ändert NICHTS am bestehenden Zustand (kein Überschreiben
+// der callback_url) — anders als RET-01s RegisterObject (dort
+// UPSERT-artig), weil ein bereits registrierter Rückruf nicht
+// stillschweigend durch eine zweite, möglicherweise abweichende
+// Registrierung ersetzt werden darf.
+func Register(ctx context.Context, pool *pgxpool.Pool, moduleName, objectType, retentionClass, callbackURL string) (Registration, error) {
+	var reg Registration
+	err := pool.QueryRow(ctx, `
+		INSERT INTO module_registrations (module_name, object_type, retention_class, callback_url)
+		VALUES ($1, $2, $3, $4)
+		ON CONFLICT (module_name, object_type) DO NOTHING
+		RETURNING id, module_name, object_type, retention_class, callback_url
+	`, moduleName, objectType, retentionClass, callbackURL).Scan(&reg.ID, &reg.ModuleName, &reg.ObjectType, &reg.RetentionClass, &reg.CallbackURL)
+	if err == nil {
+		return reg, nil
+	}
+	// ON CONFLICT DO NOTHING liefert keine Zeile zurueck (pgx: ErrNoRows) -
+	// bestehende Registrierung unveraendert nachlesen und zurueckgeben.
+	err = pool.QueryRow(ctx, `
+		SELECT id, module_name, object_type, retention_class, callback_url FROM module_registrations
+		WHERE module_name = $1 AND object_type = $2
+	`, moduleName, objectType).Scan(&reg.ID, &reg.ModuleName, &reg.ObjectType, &reg.RetentionClass, &reg.CallbackURL)
+	if err != nil {
+		return Registration{}, fmt.Errorf("moduleadapter: registrierung lesen/anlegen: %w", err)
+	}
+	return reg, nil
+}
+
+// ListRegistrations liefert alle registrierten Objekttypen — Grundlage
+// für Statusübersichten und Tests (Pflichtprüfung 1: zwei Module
+// parallel registriert ohne Kollision).
+func ListRegistrations(ctx context.Context, pool *pgxpool.Pool) ([]Registration, error) {
+	rows, err := pool.Query(ctx, `SELECT id, module_name, object_type, retention_class, callback_url FROM module_registrations ORDER BY module_name, object_type`)
+	if err != nil {
+		return nil, fmt.Errorf("moduleadapter: registrierungen auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var regs []Registration
+	for rows.Next() {
+		var r Registration
+		if err := rows.Scan(&r.ID, &r.ModuleName, &r.ObjectType, &r.RetentionClass, &r.CallbackURL); err != nil {
+			return nil, fmt.Errorf("moduleadapter: registrierungs-zeile lesen: %w", err)
+		}
+		regs = append(regs, r)
+	}
+	return regs, rows.Err()
+}
+
+// DestructionNotice ist der Rückruf-Payload bei Vernichtung eines
+// Objekts (Akzeptanzkriterium 2) — das feststehende Vertragsformat, das
+// jeder Modul-Rückruf-Empfänger erwarten muss.
+type DestructionNotice struct {
+	ObjectType      string    `json:"object_type"`
+	ObjectReference string    `json:"object_reference"`
+	DestroyedAt     time.Time `json:"destroyed_at"`
+}
+
+// NotifyDestruction ruft das registrierte Modul beim Vernichten eines
+// Objekts zurück, statt dass Archive selbst Modul-Interna kennen müsste
+// (Akzeptanzkriterium 2). Fehlerverhalten: liefert den Fehler an den
+// Aufrufer zurück, statt ihn zu verschlucken — ein fehlgeschlagener
+// Rückruf ist ein Fehlerzustand, der behandelt/wiederholt werden muss
+// (Wiederholungslogik ist NICHT Teil dieses Tickets, nur der
+// Interface-Vertrag: Erfolg = HTTP 2xx, sonst Fehler).
+func NotifyDestruction(ctx context.Context, client *http.Client, callbackURL string, notice DestructionNotice) error {
+	body, err := json.Marshal(notice)
+	if err != nil {
+		return fmt.Errorf("moduleadapter: rückruf-payload kodieren: %w", err)
+	}
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, callbackURL, bytes.NewReader(body))
+	if err != nil {
+		return fmt.Errorf("moduleadapter: rückruf-request erstellen: %w", err)
+	}
+	req.Header.Set("Content-Type", "application/json")
+
+	resp, err := client.Do(req)
+	if err != nil {
+		return fmt.Errorf("moduleadapter: rückruf fehlgeschlagen: %w", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+
+	if resp.StatusCode < 200 || resp.StatusCode >= 300 {
+		return fmt.Errorf("moduleadapter: rückruf-endpunkt antwortete mit status %d", resp.StatusCode)
+	}
+	return nil
+}

archive/internal/moduleadapter/moduleadapter_test.go

@@ -0,0 +1,154 @@
+package moduleadapter
+
+import (
+	"context"
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func jsonDecode(r *http.Request, v interface{}) error {
+	defer func() { _ = r.Body.Close() }()
+	return json.NewDecoder(r.Body).Decode(v)
+}
+
+func requireTestPool(t *testing.T) *pgxpool.Pool {
+	t.Helper()
+	dsn := os.Getenv("TEST_TENANT_DSN")
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	t.Cleanup(func() { pool.Close() })
+
+	if _, err := pool.Exec(ctx, `
+		CREATE EXTENSION IF NOT EXISTS pgcrypto;
+		CREATE TABLE IF NOT EXISTS module_registrations (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), module_name TEXT NOT NULL,
+			object_type TEXT NOT NULL, retention_class TEXT NOT NULL, callback_url TEXT NOT NULL,
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+			UNIQUE (module_name, object_type)
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	t.Cleanup(func() { _, _ = pool.Exec(context.Background(), `TRUNCATE module_registrations`) })
+	return pool
+}
+
+// TestRegister_TwoModulesNoCollision ist Pruefung 1: zwei fiktive Module
+// (DMS, Mail) parallel registriert ohne Kollision.
+func TestRegister_TwoModulesNoCollision(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	dmsReg, err := Register(ctx, pool, "dms", "document", "klasse-B2B-standard", "https://dms.example.test/callback")
+	if err != nil {
+		t.Fatalf("dms registrieren: %v", err)
+	}
+	mailReg, err := Register(ctx, pool, "mail", "message", "klasse-korrespondenz", "https://mail.example.test/callback")
+	if err != nil {
+		t.Fatalf("mail registrieren: %v", err)
+	}
+	if dmsReg.ID == mailReg.ID {
+		t.Fatal("dms und mail erhielten dieselbe id - kollision")
+	}
+
+	all, err := ListRegistrations(ctx, pool)
+	if err != nil {
+		t.Fatalf("listregistrations: %v", err)
+	}
+	if len(all) != 2 {
+		t.Fatalf("erwartet 2 registrierungen, habe %d", len(all))
+	}
+}
+
+// TestRegister_IsIdempotent_UnchangedExistingState ist Pruefung 3:
+// erneute Registrierung desselben Objekttyps aendert NICHTS am
+// bestehenden Zustand - auch nicht bei abweichender callback_url im
+// zweiten Aufruf.
+func TestRegister_IsIdempotent_UnchangedExistingState(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	first, err := Register(ctx, pool, "dms", "document", "klasse-original", "https://dms.example.test/original")
+	if err != nil {
+		t.Fatalf("erste registrierung: %v", err)
+	}
+	second, err := Register(ctx, pool, "dms", "document", "klasse-ANDERE", "https://dms.example.test/ANDERE-url")
+	if err != nil {
+		t.Fatalf("zweite registrierung: %v", err)
+	}
+
+	if second.ID != first.ID {
+		t.Fatalf("erneute registrierung erzeugte neue id: %q, want %q", second.ID, first.ID)
+	}
+	if second.CallbackURL != "https://dms.example.test/original" {
+		t.Fatalf("callback_url wurde ueberschrieben: %q, want unveraendert %q", second.CallbackURL, first.CallbackURL)
+	}
+	if second.RetentionClass != "klasse-original" {
+		t.Fatalf("retention_class wurde ueberschrieben: %q, want unveraendert %q", second.RetentionClass, "klasse-original")
+	}
+
+	all, err := ListRegistrations(ctx, pool)
+	if err != nil {
+		t.Fatalf("listregistrations: %v", err)
+	}
+	if len(all) != 1 {
+		t.Fatalf("erwartet weiterhin genau 1 registrierung, habe %d", len(all))
+	}
+}
+
+// TestNotifyDestruction_CallsRealTestEndpoint ist Pruefung 2: Rueckruf
+// bei Vernichtung erfolgreich gegen einen Testendpunkt ausgefuehrt -
+// echter HTTP-Server, echter Request, echte Payload-Pruefung.
+func TestNotifyDestruction_CallsRealTestEndpoint(t *testing.T) {
+	var receivedNotice DestructionNotice
+	called := false
+	server := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		called = true
+		if r.Method != http.MethodPost {
+			t.Errorf("erwartet POST, habe %s", r.Method)
+		}
+		if err := jsonDecode(r, &receivedNotice); err != nil {
+			t.Errorf("payload dekodieren: %v", err)
+		}
+		w.WriteHeader(http.StatusOK)
+	}))
+	defer server.Close()
+
+	notice := DestructionNotice{ObjectType: "document", ObjectReference: "doc-789", DestroyedAt: time.Now().UTC()}
+	if err := NotifyDestruction(context.Background(), server.Client(), server.URL, notice); err != nil {
+		t.Fatalf("notifydestruction: %v", err)
+	}
+	if !called {
+		t.Fatal("testendpunkt wurde nie aufgerufen")
+	}
+	if receivedNotice.ObjectReference != "doc-789" {
+		t.Fatalf("empfangene objekt-referenz = %q, want doc-789", receivedNotice.ObjectReference)
+	}
+}
+
+// TestNotifyDestruction_ReturnsErrorOnNonSuccessStatus ist Nachweis des
+// Fehlerverhaltens: ein fehlschlagender Rueckruf wird als Fehler
+// gemeldet, nicht verschluckt.
+func TestNotifyDestruction_ReturnsErrorOnNonSuccessStatus(t *testing.T) {
+	server := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusInternalServerError)
+	}))
+	defer server.Close()
+
+	err := NotifyDestruction(context.Background(), server.Client(), server.URL, DestructionNotice{})
+	if err == nil {
+		t.Fatal("erwartet fehler bei 500-antwort des rueckruf-endpunkts")
+	}
+}

archive/internal/notifyclient/notifyclient.go

@@ -0,0 +1,84 @@
+// Package notifyclient ist ein schlanker HTTP-Client für Core CFG-05
+// (internal/notifyapi, POST /notify/enqueue). Archive ist ein physisch
+// getrenntes Go-Modul und kann Core CFG-02/CFG-04 daher nicht direkt
+// importieren — nur über die HTTP-Schnittstelle von CFG-05 aufrufen.
+// Gleiches Muster wie archive/internal/rbacclient (RET-08) für RBAC-06.
+package notifyclient
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"fmt"
+	"net/http"
+)
+
+type Client struct {
+	BaseURL      string
+	ServiceToken string
+	HTTPClient   *http.Client
+}
+
+func New(baseURL, serviceToken string) *Client {
+	return &Client{BaseURL: baseURL, ServiceToken: serviceToken, HTTPClient: http.DefaultClient}
+}
+
+type enqueueRequest struct {
+	TenantSlug string         `json:"tenant_slug"`
+	UserID     string         `json:"user_id"`
+	EventType  string         `json:"event_type"`
+	Channel    string         `json:"channel"`
+	Recipient  string         `json:"recipient"`
+	Payload    map[string]any `json:"payload"`
+}
+
+// EnqueueResult spiegelt CFG-05s enqueueResponse.
+type EnqueueResult struct {
+	JobID   string
+	Skipped bool
+}
+
+// Enqueue löst ein Benachrichtigungs-Ereignis über CFG-05 aus. Jeder
+// Fehler (Transport, Timeout, unerwarteter Status) wird als Fehler
+// zurückgegeben — der Aufrufer entscheidet, ob/wie er das protokolliert
+// (Pflichtprüfung RET-07: fehlgeschlagener Versand wird protokolliert,
+// nicht stillschweigend verworfen).
+func (c *Client) Enqueue(ctx context.Context, tenantSlug, userID, eventType, channel, recipient string, payload map[string]any) (EnqueueResult, error) {
+	body, err := json.Marshal(enqueueRequest{
+		TenantSlug: tenantSlug, UserID: userID, EventType: eventType, Channel: channel, Recipient: recipient, Payload: payload,
+	})
+	if err != nil {
+		return EnqueueResult{}, fmt.Errorf("notifyclient: request kodieren: %w", err)
+	}
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.BaseURL+"/notify/enqueue", bytes.NewReader(body))
+	if err != nil {
+		return EnqueueResult{}, fmt.Errorf("notifyclient: request bauen: %w", err)
+	}
+	req.Header.Set("Content-Type", "application/json")
+	req.Header.Set("X-Service-Token", c.ServiceToken)
+
+	resp, err := c.httpClient().Do(req)
+	if err != nil {
+		return EnqueueResult{}, fmt.Errorf("notifyclient: aufruf fehlgeschlagen: %w", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+
+	if resp.StatusCode != http.StatusOK {
+		return EnqueueResult{}, fmt.Errorf("notifyclient: unerwarteter status %d", resp.StatusCode)
+	}
+	var out struct {
+		JobID   string `json:"job_id"`
+		Skipped bool   `json:"skipped"`
+	}
+	if err := json.NewDecoder(resp.Body).Decode(&out); err != nil {
+		return EnqueueResult{}, fmt.Errorf("notifyclient: antwort dekodieren: %w", err)
+	}
+	return EnqueueResult{JobID: out.JobID, Skipped: out.Skipped}, nil
+}
+
+func (c *Client) httpClient() *http.Client {
+	if c.HTTPClient != nil {
+		return c.HTTPClient
+	}
+	return http.DefaultClient
+}

archive/internal/objectbackup/restic.go

@@ -137,6 +137,42 @@ func Forget(ctx context.Context, cfg Config, keepLast int) error {
 	return nil
 }
 
+// RetentionPolicy ist eine gestaffelte Aufbewahrungsfrist nach
+// restic/Borg-Vorbild (BAK-07, unabhängig von RET-02s Dokumenten-
+// Retention): täglich/wöchentlich/monatlich je eine konfigurierbare
+// Anzahl Snapshots behalten, statt einer flachen "letzte N"-Regel
+// (Forget/keepLast) oder hart codierter Staffelung. Ein Feldwert 0
+// bedeutet "diese Stufe nicht anwenden" (restics eigene Konvention bei
+// `--keep-*`).
+type RetentionPolicy struct {
+	KeepDaily   int
+	KeepWeekly  int
+	KeepMonthly int
+}
+
+// PruneTiered wendet policy über restics NATIVE `--keep-daily`/
+// `--keep-weekly`/`--keep-monthly`-Staffelung an (kein Eigenbau der
+// Bucket-Logik — restic beherrscht das bereits robust) und gibt den
+// belegten Speicherplatz nicht mehr referenzierter Daten frei
+// (`--prune`). Snapshots, die keiner Stufe zugeordnet werden, entfallen
+// automatisch — restics übliche GFS-Semantik.
+func PruneTiered(ctx context.Context, cfg Config, policy RetentionPolicy) error {
+	args := []string{"forget", "--prune"}
+	if policy.KeepDaily > 0 {
+		args = append(args, "--keep-daily", fmt.Sprintf("%d", policy.KeepDaily))
+	}
+	if policy.KeepWeekly > 0 {
+		args = append(args, "--keep-weekly", fmt.Sprintf("%d", policy.KeepWeekly))
+	}
+	if policy.KeepMonthly > 0 {
+		args = append(args, "--keep-monthly", fmt.Sprintf("%d", policy.KeepMonthly))
+	}
+	if _, err := run(ctx, cfg, args...); err != nil {
+		return fmt.Errorf("objectbackup: gestaffelte rotation: %w", err)
+	}
+	return nil
+}
+
 // Restore stellt snapshotID nach targetDir wieder her (`restic restore`).
 // targetDir muss bereits existieren; Atomarität gegenüber einem eventuell
 // nicht-leeren ENDZIEL ist Aufgabe von internal/restore, nicht dieser

archive/internal/objectbackup/retention_test.go

@@ -0,0 +1,125 @@
+package objectbackup
+
+import (
+	"context"
+	"encoding/json"
+	"os"
+	"path/filepath"
+	"testing"
+	"time"
+)
+
+// backupAt erstellt einen Snapshot mit ERZWUNGENEM Zeitstempel
+// (restics `backup --time`) - so lassen sich mehrere Altersstufen real
+// simulieren, ohne tatsaechlich tagelang zu warten.
+func backupAt(t *testing.T, cfg Config, sourceDir string, at time.Time) {
+	t.Helper()
+	// restics --time erwartet SEIN EIGENES Format ("2006-01-02 15:04:05"),
+	// nicht RFC3339 - real erst hier festgestellt (restic verweigert
+	// RFC3339 mit einem Parse-Fehler).
+	output, err := run(context.Background(), cfg, "backup", sourceDir, "--time", at.Format("2006-01-02 15:04:05"), "--json")
+	if err != nil {
+		t.Fatalf("backup (zeitstempel %s): %v (ausgabe: %s)", at, err, output)
+	}
+}
+
+// TestPruneTiered_KeepsCorrectStaggering_RealSnapshots ist Pruefung 1
+// fuer den Objekt-Storage-Teil: reale, gestaffelt datierte Snapshots,
+// restics eigene Staffelung liefert die erwartete Anzahl verbleibender
+// Snapshots.
+func TestPruneTiered_KeepsCorrectStaggering_RealSnapshots(t *testing.T) {
+	cfg := setupTest(t)
+	sourceDir := t.TempDir()
+	writeFile(t, sourceDir, "datei.txt", "inhalt")
+
+	now := time.Now().UTC()
+	for i := 0; i < 10; i++ {
+		backupAt(t, cfg, sourceDir, now.Add(-time.Duration(i)*24*time.Hour))
+	}
+	if got, err := SnapshotCount(context.Background(), cfg); err != nil || got != 10 {
+		t.Fatalf("erwartet 10 snapshots vor dem prune, habe %d (err=%v)", got, err)
+	}
+
+	if err := PruneTiered(context.Background(), cfg, RetentionPolicy{KeepDaily: 3}); err != nil {
+		t.Fatalf("prunetiered: %v", err)
+	}
+
+	got, err := SnapshotCount(context.Background(), cfg)
+	if err != nil {
+		t.Fatalf("snapshotcount: %v", err)
+	}
+	if got != 3 {
+		t.Fatalf("erwartet 3 verbleibende snapshots nach KeepDaily=3, habe %d", got)
+	}
+}
+
+// TestPruneTiered_KeptSnapshotStillFullyRestorable ist der reale Beweis
+// fuer Akzeptanzkriterium 3 (Pruefung 3, Legal-Hold-Analog): Pruning
+// aelterer Snapshots darf niemals Daten beschaedigen, die ein
+// VERBLEIBENDER (aktueller) Snapshot noch braucht - genau die
+// Eigenschaft, die verhindert, dass Pruning mit einer laufenden
+// Dokumenten-Aufbewahrungssperre kollidiert: solange das Dokument in
+// einem behaltenen Snapshot steckt, bleibt es nach dem Pruning
+// vollstaendig wiederherstellbar.
+func TestPruneTiered_KeptSnapshotStillFullyRestorable(t *testing.T) {
+	cfg := setupTest(t)
+	sourceDir := t.TempDir()
+	content := "unveraendertes dokument, muss nach dem pruning vollstaendig lesbar bleiben"
+	writeFile(t, sourceDir, "gehaltenes-dokument.txt", content)
+
+	now := time.Now().UTC()
+	// mehrere aeltere snapshots desselben unveraenderten inhalts (dedupliziert)
+	for i := 5; i >= 1; i-- {
+		backupAt(t, cfg, sourceDir, now.Add(-time.Duration(i)*24*time.Hour))
+	}
+	// EIN aktueller, zu behaltender snapshot
+	backupAt(t, cfg, sourceDir, now)
+
+	// erwarte 5 aeltere zu entfernen, den juengsten zu behalten
+	if err := PruneTiered(context.Background(), cfg, RetentionPolicy{KeepDaily: 1}); err != nil {
+		t.Fatalf("prunetiered: %v", err)
+	}
+	remaining, err := SnapshotCount(context.Background(), cfg)
+	if err != nil {
+		t.Fatalf("snapshotcount: %v", err)
+	}
+	if remaining != 1 {
+		t.Fatalf("erwartet 1 verbleibenden snapshot, habe %d", remaining)
+	}
+
+	latestID := latestSnapshotShortID(t, cfg)
+	targetDir := t.TempDir()
+	if err := Restore(context.Background(), cfg, latestID, targetDir); err != nil {
+		t.Fatalf("restore nach pruning: %v", err)
+	}
+	got, err := os.ReadFile(filepath.Join(targetDir, sourceDir, "gehaltenes-dokument.txt"))
+	if err != nil {
+		t.Fatalf("wiederhergestelltes dokument lesen: %v", err)
+	}
+	if string(got) != content {
+		t.Fatalf("dokumentinhalt nach pruning beschaedigt: %q, want %q", got, content)
+	}
+
+	// Zusaetzlich: restics eigene Integritaetspruefung bestaetigt, dass
+	// das Pruning kein von behaltenen Snapshots benoetigtes Datenblock
+	// entfernt hat.
+	if err := Check(context.Background(), cfg, true); err != nil {
+		t.Fatalf("check nach pruning: %v", err)
+	}
+}
+
+func latestSnapshotShortID(t *testing.T, cfg Config) string {
+	t.Helper()
+	output, err := run(context.Background(), cfg, "snapshots", "--json")
+	if err != nil {
+		t.Fatalf("snapshots: %v", err)
+	}
+	var snapshots []snapshotEntry
+	if err := json.Unmarshal(output, &snapshots); err != nil {
+		t.Fatalf("snapshot-liste dekodieren: %v", err)
+	}
+	if len(snapshots) == 0 {
+		t.Fatal("keine snapshots vorhanden")
+	}
+	return snapshots[len(snapshots)-1].ShortID
+}

archive/internal/rbacclient/rbacclient.go

@@ -0,0 +1,82 @@
+// Package rbacclient ist ein schlanker HTTP-Client für Core RBAC-06
+// (internal/policyapi, POST /authorize). Archive ist ein physisch
+// getrenntes Go-Modul und kann Core RBAC-02 (internal/policy) daher
+// nicht direkt importieren — nur über die HTTP-Schnittstelle von
+// RBAC-06 aufrufen.
+package rbacclient
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"net/http"
+)
+
+// ErrDenied wird zurückgegeben, wenn RBAC-06 die Anfrage ausdrücklich
+// ablehnt (kein Transport-/Serverfehler, sondern eine bewusste
+// Policy-Entscheidung).
+var ErrDenied = errors.New("rbac: zugriff verweigert")
+
+// Client ruft den RBAC-06-Endpunkt auf.
+type Client struct {
+	BaseURL      string
+	ServiceToken string
+	HTTPClient   *http.Client
+}
+
+func New(baseURL, serviceToken string) *Client {
+	return &Client{BaseURL: baseURL, ServiceToken: serviceToken, HTTPClient: http.DefaultClient}
+}
+
+type authorizeRequest struct {
+	Role       string `json:"role"`
+	Permission string `json:"permission"`
+}
+
+type authorizeResponse struct {
+	Allowed bool `json:"allowed"`
+}
+
+// Authorize fragt RBAC-06, ob role die permission besitzt. Jeder
+// Fehler (Transport, Timeout, unerwarteter Status) wird als Fehler
+// zurückgegeben, NICHT stillschweigend als "erlaubt" behandelt — der
+// Aufrufer muss bei einem Fehler fail-closed (verweigern) reagieren.
+func (c *Client) Authorize(ctx context.Context, role, permission string) (bool, error) {
+	body, err := json.Marshal(authorizeRequest{Role: role, Permission: permission})
+	if err != nil {
+		return false, fmt.Errorf("rbac: request kodieren: %w", err)
+	}
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.BaseURL+"/authorize", bytes.NewReader(body))
+	if err != nil {
+		return false, fmt.Errorf("rbac: request bauen: %w", err)
+	}
+	req.Header.Set("Content-Type", "application/json")
+	req.Header.Set("X-Service-Token", c.ServiceToken)
+
+	resp, err := c.httpClient().Do(req)
+	if err != nil {
+		return false, fmt.Errorf("rbac: aufruf fehlgeschlagen: %w", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+
+	if resp.StatusCode != http.StatusOK {
+		return false, fmt.Errorf("rbac: unerwarteter status %d", resp.StatusCode)
+	}
+	var out authorizeResponse
+	if err := json.NewDecoder(resp.Body).Decode(&out); err != nil {
+		return false, fmt.Errorf("rbac: antwort dekodieren: %w", err)
+	}
+	if !out.Allowed {
+		return false, ErrDenied
+	}
+	return true, nil
+}
+
+func (c *Client) httpClient() *http.Client {
+	if c.HTTPClient != nil {
+		return c.HTTPClient
+	}
+	return http.DefaultClient
+}

archive/internal/restoretest/history.go

@@ -0,0 +1,61 @@
+package restoretest
+
+import (
+	"bufio"
+	"encoding/json"
+	"fmt"
+	"os"
+)
+
+// AppendHistory hängt result an die JSONL-Protokolldatei an
+// (Akzeptanzkriterium 2/Pflichtprüfung 3: Historie zeigt mehrere
+// zurückliegende Testläufe nachvollziehbar an — append-only, nichts wird
+// überschrieben).
+func AppendHistory(logPath string, result Result) error {
+	f, err := os.OpenFile(logPath, os.O_APPEND|os.O_CREATE|os.O_WRONLY, 0o600)
+	if err != nil {
+		return fmt.Errorf("restoretest: protokolldatei öffnen: %w", err)
+	}
+	defer func() { _ = f.Close() }()
+
+	line, err := json.Marshal(result)
+	if err != nil {
+		return fmt.Errorf("restoretest: ergebnis kodieren: %w", err)
+	}
+	if _, err := f.Write(append(line, '\n')); err != nil {
+		return fmt.Errorf("restoretest: ergebnis schreiben: %w", err)
+	}
+	return nil
+}
+
+// ReadHistory liest alle bisherigen Testlauf-Ergebnisse — Nachweis der
+// Nachvollziehbarkeit über mehrere Läufe hinweg.
+func ReadHistory(logPath string) ([]Result, error) {
+	f, err := os.Open(logPath)
+	if err != nil {
+		if os.IsNotExist(err) {
+			return nil, nil
+		}
+		return nil, fmt.Errorf("restoretest: protokolldatei lesen: %w", err)
+	}
+	defer func() { _ = f.Close() }()
+
+	var results []Result
+	scanner := bufio.NewScanner(f)
+	scanner.Buffer(make([]byte, 0, 64*1024), 1024*1024)
+	for scanner.Scan() {
+		line := scanner.Bytes()
+		if len(line) == 0 {
+			continue
+		}
+		var r Result
+		if err := json.Unmarshal(line, &r); err != nil {
+			return nil, fmt.Errorf("restoretest: protokollzeile dekodieren: %w", err)
+		}
+		results = append(results, r)
+	}
+	if err := scanner.Err(); err != nil {
+		return nil, fmt.Errorf("restoretest: protokolldatei durchlaufen: %w", err)
+	}
+	return results, nil
+}

archive/internal/restoretest/history_test.go

@@ -0,0 +1,49 @@
+package restoretest
+
+import (
+	"path/filepath"
+	"testing"
+	"time"
+)
+
+// TestHistory_ShowsMultiplePastRunsInOrder ist Pruefung 3: Protokoll-
+// historie zeigt mehrere zurueckliegende Testlaeufe nachvollziehbar an.
+func TestHistory_ShowsMultiplePastRunsInOrder(t *testing.T) {
+	logPath := filepath.Join(t.TempDir(), "restoretest.log")
+
+	results := []Result{
+		{Timestamp: time.Now().UTC(), Kind: KindDatabase, Source: "gen-1", Success: true, Detail: "ok"},
+		{Timestamp: time.Now().UTC().Add(time.Hour), Kind: KindObjects, Source: "snap-1", Success: false, Detail: "kaputt"},
+		{Timestamp: time.Now().UTC().Add(2 * time.Hour), Kind: KindDatabase, Source: "gen-2", Success: true, Detail: "ok"},
+	}
+	for _, r := range results {
+		if err := AppendHistory(logPath, r); err != nil {
+			t.Fatalf("appendHistory: %v", err)
+		}
+	}
+
+	got, err := ReadHistory(logPath)
+	if err != nil {
+		t.Fatalf("readHistory: %v", err)
+	}
+	if len(got) != len(results) {
+		t.Fatalf("erwartet %d eintraege, habe %d", len(results), len(got))
+	}
+	for i, want := range results {
+		if got[i].Source != want.Source || got[i].Success != want.Success || got[i].Kind != want.Kind {
+			t.Fatalf("eintrag %d = %+v, want %+v", i, got[i], want)
+		}
+	}
+}
+
+// TestReadHistory_MissingFileReturnsEmpty - noch kein Testlauf ist kein
+// Fehlerzustand.
+func TestReadHistory_MissingFileReturnsEmpty(t *testing.T) {
+	got, err := ReadHistory(filepath.Join(t.TempDir(), "nicht-vorhanden.log"))
+	if err != nil {
+		t.Fatalf("erwartet keinen fehler, habe: %v", err)
+	}
+	if len(got) != 0 {
+		t.Fatalf("erwartet leere historie, habe %d eintraege", len(got))
+	}
+}

archive/internal/restoretest/restoretest.go

@@ -0,0 +1,239 @@
+// Package restoretest implementiert BAK-06: regelmäßiger, automatisierter
+// Testlauf des BAK-03-Restore-Verfahrens gegen eine isolierte
+// Testumgebung — "Wiederherstellung ist Routine, nicht Ausnahmefall"
+// (Produkt-DNA) heißt: nicht nur Dateien vorhanden pruefen, sondern
+// tatsächlich eine funktionsfähige Instanz aus der Sicherung starten und
+// befragen, exakt wie BAK-03s eigener Prüfungsnachweis — hier als
+// Produktcode statt Testcode, damit es regelmäßig UNBEAUFSICHTIGT laufen
+// kann.
+package restoretest
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"fmt"
+	"os"
+	"os/exec"
+	"path/filepath"
+	"strings"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
+)
+
+// Kind unterscheidet Datenbank- und Objekt-Storage-Testlauf im Protokoll.
+type Kind string
+
+const (
+	KindDatabase Kind = "database"
+	KindObjects  Kind = "objects"
+)
+
+// Result ist EIN Testlauf-Ergebnis (Akzeptanzkriterium 2: Ergebnis mit
+// Zeitstempel protokolliert).
+type Result struct {
+	Timestamp time.Time `json:"timestamp"`
+	Kind      Kind      `json:"kind"`
+	Source    string    `json:"source"` // Generation-ID oder Snapshot-ID
+	Success   bool      `json:"success"`
+	Detail    string    `json:"detail"`
+}
+
+// PgConfig bündelt die zusätzlich zu backup.Config nötigen Angaben für
+// den Kurzstart der Test-Instanz (eigener Port/Socket, damit die
+// Testinstanz die echte Test-Datenbank auf demselben Host nicht stört).
+type PgConfig struct {
+	PgCtlPath string // Default "pg_ctl"
+	PsqlPath  string // Default "psql"
+	TestPort  string // Default "55433"
+}
+
+func (c PgConfig) ctlBinary() string {
+	if c.PgCtlPath != "" {
+		return c.PgCtlPath
+	}
+	return "pg_ctl"
+}
+
+func (c PgConfig) psqlBinary() string {
+	if c.PsqlPath != "" {
+		return c.PsqlPath
+	}
+	return "psql"
+}
+
+func (c PgConfig) port() string {
+	if c.TestPort != "" {
+		return c.TestPort
+	}
+	return "55433"
+}
+
+// RunDatabaseTest führt einen vollständigen Restore der NEUESTEN
+// Generation in ein frisches, isoliertes Testverzeichnis durch und
+// beweist Wiederherstellbarkeit, indem daraus tatsächlich eine
+// eigenständige Postgres-Instanz gestartet und per echter Verbindung
+// abgefragt wird (Akzeptanzkriterium 1) — dieselbe Prüftiefe wie BAK-03s
+// eigener Nachweis, hier als wiederholbarer Produktcode.
+func RunDatabaseTest(ctx context.Context, cfg backup.Config, pgCfg PgConfig, testRoot string) Result {
+	res := Result{Timestamp: time.Now().UTC(), Kind: KindDatabase}
+
+	generations, err := backup.ListGenerations(cfg.BackupDir)
+	if err != nil || len(generations) == 0 {
+		res.Detail = fmt.Sprintf("keine sicherungsgeneration gefunden: %v", err)
+		return res
+	}
+	genID := generations[len(generations)-1]
+	res.Source = genID
+
+	testDir, err := os.MkdirTemp(testRoot, "restoretest-db-*")
+	if err != nil {
+		res.Detail = fmt.Sprintf("testverzeichnis anlegen: %v", err)
+		return res
+	}
+	defer func() { _ = os.RemoveAll(testDir) }()
+
+	restoreOut := filepath.Join(testDir, "pgdata")
+	if err := os.MkdirAll(restoreOut, 0o700); err != nil {
+		res.Detail = fmt.Sprintf("pgdata-verzeichnis anlegen: %v", err)
+		return res
+	}
+	if err := backup.Restore(ctx, cfg, genID, restoreOut); err != nil {
+		res.Detail = fmt.Sprintf("restore fehlgeschlagen: %v", err)
+		return res
+	}
+
+	// Minimalkonfiguration NUR für den isolierten Kurzstart (auf diesem
+	// Debian-Postgres liegen postgresql.conf/pg_hba.conf ausserhalb von
+	// PGDATA, siehe BAK-03-PRUEFPROTOKOLL.md - der reale Sicherungsinhalt
+	// selbst enthält sie nicht).
+	if err := os.WriteFile(filepath.Join(restoreOut, "postgresql.conf"), []byte("listen_addresses = ''\n"), 0o600); err != nil {
+		res.Detail = fmt.Sprintf("testkonfiguration schreiben: %v", err)
+		return res
+	}
+	if err := os.WriteFile(filepath.Join(restoreOut, "pg_hba.conf"), []byte("local all all trust\n"), 0o600); err != nil {
+		res.Detail = fmt.Sprintf("testkonfiguration schreiben: %v", err)
+		return res
+	}
+
+	// EIGENES, kurzes Verzeichnis fuer den Unix-Socket - NICHT unter
+	// testDir (Postgres begrenzt Socket-Pfade auf 107 Byte, ein tief
+	// verschachtelter Testverzeichnis-Pfad reisst dieses Limit leicht).
+	socketDir, err := os.MkdirTemp("", "nexarch-rt-sock-*")
+	if err != nil {
+		res.Detail = fmt.Sprintf("socket-verzeichnis anlegen: %v", err)
+		return res
+	}
+	defer func() { _ = os.RemoveAll(socketDir) }()
+	logFile := filepath.Join(testDir, "postgres.log")
+
+	startCtx, cancel := context.WithTimeout(ctx, 60*time.Second)
+	defer cancel()
+	startCmd := exec.CommandContext(startCtx, pgCfg.ctlBinary(), "start", "-D", restoreOut, "-w", "-t", "30", "-l", logFile,
+		"-o", fmt.Sprintf("-p %s -k %s -c listen_addresses=''", pgCfg.port(), socketDir))
+	if err := startCmd.Run(); err != nil {
+		logContent, _ := os.ReadFile(logFile)
+		res.Detail = fmt.Sprintf("testinstanz starten fehlgeschlagen: %v (log: %s)", err, string(logContent))
+		return res
+	}
+	defer func() {
+		stopCmd := exec.Command(pgCfg.ctlBinary(), "stop", "-D", restoreOut, "-m", "fast")
+		_ = stopCmd.Run()
+	}()
+
+	psqlCtx, cancelPsql := context.WithTimeout(ctx, 15*time.Second)
+	defer cancelPsql()
+	psqlOut, err := exec.CommandContext(psqlCtx, pgCfg.psqlBinary(),
+		"-h", socketDir, "-p", pgCfg.port(), "-U", cfg.User, "-d", "postgres",
+		"-tAc", "SELECT 1").CombinedOutput()
+	if err != nil || strings.TrimSpace(string(psqlOut)) != "1" {
+		res.Detail = fmt.Sprintf("verbindung zur testinstanz fehlgeschlagen: %v (ausgabe: %s)", err, string(psqlOut))
+		return res
+	}
+
+	res.Success = true
+	res.Detail = "restore und verbindungspruefung erfolgreich"
+	return res
+}
+
+// RunObjectTest führt einen vollständigen Restore des NEUESTEN Snapshots
+// in ein frisches, isoliertes Testverzeichnis durch — restics eigene
+// Vollständigkeitsgarantie beim Restore (bricht bei fehlenden/beschädigten
+// Blöcken ab) ist der Wiederherstellbarkeitsnachweis, zusätzlich real
+// geprüft, dass das Zielverzeichnis tatsächlich Inhalt enthält.
+func RunObjectTest(ctx context.Context, cfg objectbackup.Config, testRoot string) Result {
+	res := Result{Timestamp: time.Now().UTC(), Kind: KindObjects}
+
+	snapshotID, err := latestSnapshotID(ctx, cfg)
+	if err != nil {
+		res.Detail = fmt.Sprintf("neuesten snapshot ermitteln: %v", err)
+		return res
+	}
+	res.Source = snapshotID
+
+	testDir, err := os.MkdirTemp(testRoot, "restoretest-objects-*")
+	if err != nil {
+		res.Detail = fmt.Sprintf("testverzeichnis anlegen: %v", err)
+		return res
+	}
+	defer func() { _ = os.RemoveAll(testDir) }()
+
+	if err := objectbackup.Restore(ctx, cfg, snapshotID, testDir); err != nil {
+		res.Detail = fmt.Sprintf("restore fehlgeschlagen: %v", err)
+		return res
+	}
+
+	empty, err := dirIsEmpty(testDir)
+	if err != nil {
+		res.Detail = fmt.Sprintf("wiederhergestelltes verzeichnis pruefen: %v", err)
+		return res
+	}
+	if empty {
+		res.Detail = "restore lief ohne fehler, aber zielverzeichnis ist leer"
+		return res
+	}
+
+	res.Success = true
+	res.Detail = "restore erfolgreich, inhalt vorhanden"
+	return res
+}
+
+func dirIsEmpty(dir string) (bool, error) {
+	entries, err := os.ReadDir(dir)
+	if err != nil {
+		return false, err
+	}
+	return len(entries) == 0, nil
+}
+
+func latestSnapshotID(ctx context.Context, cfg objectbackup.Config) (string, error) {
+	binary := cfg.ResticPath
+	if binary == "" {
+		binary = "restic"
+	}
+	cmd := exec.CommandContext(ctx, binary, "-r", cfg.RepoDir, "snapshots", "--json")
+	cmd.Env = append(os.Environ(), "RESTIC_PASSWORD="+cfg.Password)
+	var stderr bytes.Buffer
+	cmd.Stderr = &stderr
+	// NUR stdout, nicht CombinedOutput: restic schreibt bei fehlendem/
+	// nicht beschreibbarem Cache-Verzeichnis eine Warnung nach stderr
+	// (z.B. "unable to open cache: ..." - real beobachtet unter dem
+	// systemd-Dienstnutzer "nexarch" ohne beschreibbares HOME), die vor
+	// das JSON-Array gemischt worden waere und das Parsen bricht.
+	output, err := cmd.Output()
+	if err != nil {
+		return "", fmt.Errorf("restic snapshots: %w (stderr: %s)", err, stderr.String())
+	}
+	var snapshots []struct {
+		ShortID string `json:"short_id"`
+	}
+	if err := json.Unmarshal(output, &snapshots); err != nil {
+		return "", fmt.Errorf("snapshot-liste dekodieren: %w", err)
+	}
+	if len(snapshots) == 0 {
+		return "", fmt.Errorf("keine snapshots vorhanden")
+	}
+	return snapshots[len(snapshots)-1].ShortID, nil
+}

archive/internal/restoretest/restoretest_test.go

@@ -0,0 +1,122 @@
+package restoretest
+
+import (
+	"context"
+	"os"
+	"os/exec"
+	"path/filepath"
+	"testing"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
+)
+
+func requireDBTestConfig(t *testing.T) backup.Config {
+	t.Helper()
+	user := os.Getenv("TEST_BACKUP_PG_USER")
+	if user == "" {
+		t.Skip("TEST_BACKUP_PG_USER nicht gesetzt, Integrationstest uebersprungen")
+	}
+	if _, err := exec.LookPath("pg_combinebackup"); err != nil {
+		t.Skip("pg_combinebackup nicht installiert, Integrationstest uebersprungen")
+	}
+	if _, err := exec.LookPath("pg_ctl"); err != nil {
+		t.Skip("pg_ctl nicht installiert, Integrationstest uebersprungen")
+	}
+	return backup.Config{
+		Host:      envOrT("TEST_BACKUP_PG_HOST", "localhost"),
+		Port:      envOrT("TEST_BACKUP_PG_PORT", "5432"),
+		User:      user,
+		Password:  os.Getenv("TEST_BACKUP_PG_PASSWORD"),
+		BackupDir: t.TempDir(),
+	}
+}
+
+func envOrT(key, fallback string) string {
+	if v := os.Getenv(key); v != "" {
+		return v
+	}
+	return fallback
+}
+
+// TestRunDatabaseTest_SucceedsAgainstRealBackup ist Pruefung 1: geplanter
+// Testlauf gegen aktuelle Sicherung erfolgreich durchgefuehrt.
+func TestRunDatabaseTest_SucceedsAgainstRealBackup(t *testing.T) {
+	cfg := requireDBTestConfig(t)
+	ctx, cancel := context.WithTimeout(context.Background(), 60*time.Second)
+	defer cancel()
+
+	genID := backup.NewGenerationID(time.Now())
+	if _, err := backup.FullBackup(ctx, cfg, genID); err != nil {
+		t.Fatalf("fullbackup: %v", err)
+	}
+
+	res := RunDatabaseTest(ctx, cfg, PgConfig{TestPort: "55434"}, t.TempDir())
+	if !res.Success {
+		t.Fatalf("erwartet erfolgreichen testlauf, habe: %+v", res)
+	}
+	if res.Source != genID {
+		t.Fatalf("source = %q, want %q", res.Source, genID)
+	}
+}
+
+// TestRunDatabaseTest_DetectsCorruptedBackup ist Pruefung 2: absichtlich
+// beschaedigte Sicherung laesst den Testlauf sichtbar fehlschlagen.
+func TestRunDatabaseTest_DetectsCorruptedBackup(t *testing.T) {
+	cfg := requireDBTestConfig(t)
+	ctx, cancel := context.WithTimeout(context.Background(), 60*time.Second)
+	defer cancel()
+
+	genID := backup.NewGenerationID(time.Now())
+	manifest, err := backup.FullBackup(ctx, cfg, genID)
+	if err != nil {
+		t.Fatalf("fullbackup: %v", err)
+	}
+
+	// Absichtliche Beschaedigung: base.tar.gz durch Muell ersetzen.
+	tarPath := filepath.Join(filepath.Dir(manifest), backup.BaseTarGzFile)
+	if err := os.WriteFile(tarPath, []byte("das ist kein gueltiges tar.gz"), 0o600); err != nil {
+		t.Fatal(err)
+	}
+
+	res := RunDatabaseTest(ctx, cfg, PgConfig{TestPort: "55435"}, t.TempDir())
+	if res.Success {
+		t.Fatal("erwartet fehlschlag bei beschaedigter sicherung, testlauf meldete erfolg")
+	}
+	if res.Detail == "" {
+		t.Fatal("erwartet aussagekraeftiges detail zum fehlschlag")
+	}
+}
+
+func requireObjTestConfig(t *testing.T) objectbackup.Config {
+	t.Helper()
+	if _, err := exec.LookPath("restic"); err != nil {
+		t.Skip("restic nicht installiert, Integrationstest uebersprungen")
+	}
+	cfg := objectbackup.Config{RepoDir: filepath.Join(t.TempDir(), "repo"), Password: "restoretest-passwort"}
+	if err := objectbackup.InitRepo(context.Background(), cfg); err != nil {
+		t.Fatalf("initrepo: %v", err)
+	}
+	return cfg
+}
+
+// TestRunObjectTest_SucceedsAgainstRealSnapshot ist Pruefung 1 fuer den
+// Objekt-Storage-Teil.
+func TestRunObjectTest_SucceedsAgainstRealSnapshot(t *testing.T) {
+	cfg := requireObjTestConfig(t)
+	ctx := context.Background()
+
+	sourceDir := t.TempDir()
+	if err := os.WriteFile(filepath.Join(sourceDir, "datei.txt"), []byte("inhalt"), 0o600); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := objectbackup.Backup(ctx, cfg, sourceDir); err != nil {
+		t.Fatalf("backup: %v", err)
+	}
+
+	res := RunObjectTest(ctx, cfg, t.TempDir())
+	if !res.Success {
+		t.Fatalf("erwartet erfolgreichen testlauf, habe: %+v", res)
+	}
+}

archive/internal/retention/migration_test.go

@@ -0,0 +1,78 @@
+package retention
+
+import (
+	"context"
+	"os"
+	"os/exec"
+	"path/filepath"
+	"runtime"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// TestMigration_ForwardAndBackward ist Pruefung 3 fuer Akzeptanzkriterium
+// 3: Migration laeuft gegen leere Datenbank durch UND ist rueckrollbar -
+// real gegen die TATSAECHLICHEN Migrationsdateien, kein Nachbau.
+func TestMigration_ForwardAndBackward(t *testing.T) {
+	dsn := os.Getenv("TEST_TENANT_DSN")
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	if _, err := exec.LookPath("psql"); err != nil {
+		t.Skip("psql nicht installiert, Integrationstest uebersprungen")
+	}
+
+	_, thisFile, _, _ := runtime.Caller(0)
+	migrationsDir := filepath.Join(filepath.Dir(thisFile), "..", "..", "migrations")
+	upSQL := filepath.Join(migrationsDir, "0002_retention.up.sql")
+	downSQL := filepath.Join(migrationsDir, "0002_retention.down.sql")
+
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	defer pool.Close()
+	// sauberer Ausgangszustand, falls von einem frueheren Testlauf uebrig.
+	_, _ = pool.Exec(ctx, `DROP TABLE IF EXISTS retention_class_assignments, retention_objects CASCADE`)
+
+	runPsql := func(sqlFile string) []byte {
+		t.Helper()
+		cmd := exec.CommandContext(ctx, "psql", dsn, "-v", "ON_ERROR_STOP=1", "-f", sqlFile)
+		out, err := cmd.CombinedOutput()
+		if err != nil {
+			t.Fatalf("psql -f %s: %v (ausgabe: %s)", sqlFile, err, out)
+		}
+		return out
+	}
+
+	tableExists := func(name string) bool {
+		var exists bool
+		if err := pool.QueryRow(ctx, `SELECT EXISTS (SELECT 1 FROM information_schema.tables WHERE table_name = $1)`, name).Scan(&exists); err != nil {
+			t.Fatalf("tabellenexistenz pruefen: %v", err)
+		}
+		return exists
+	}
+
+	// vorwaerts
+	runPsql(upSQL)
+	if !tableExists("retention_objects") || !tableExists("retention_class_assignments") {
+		t.Fatal("migration vorwaerts: erwartete tabellen fehlen")
+	}
+
+	// rueckwaerts
+	runPsql(downSQL)
+	if tableExists("retention_objects") || tableExists("retention_class_assignments") {
+		t.Fatal("migration rueckwaerts: tabellen haetten entfernt sein muessen")
+	}
+
+	// erneut vorwaerts (beweist: rueckwaerts hat wirklich sauber
+	// aufgeraeumt, kein Rest, der einen zweiten Vorwaertslauf bloeckieren wuerde)
+	runPsql(upSQL)
+	if !tableExists("retention_objects") {
+		t.Fatal("zweiter vorwaertslauf nach rollback fehlgeschlagen")
+	}
+	// aufraeumen
+	_, _ = pool.Exec(ctx, `DROP TABLE IF EXISTS retention_class_assignments, retention_objects CASCADE`)
+}

archive/internal/retention/retention.go

@@ -0,0 +1,103 @@
+// Package retention implementiert RET-01: ein generisches Datenmodell
+// für aufbewahrungspflichtige Objekte, modulübergreifend über Adapter
+// (Objekttyp + Objekt-Referenz als reine Textfelder) — Archive kennt die
+// Fachobjekte anderer Module (DMS, Mail) nicht im Detail, nur ihren Typ
+// und ihre Referenz. Keine Fremdschlüssel auf modulspezifische Tabellen,
+// damit ein neues Modul retention-pflichtige Objekte einbinden kann,
+// ohne dieses Paket zu ändern.
+package retention
+
+import (
+	"context"
+	"fmt"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Status eines Retention-Objekts.
+type Status string
+
+const (
+	StatusActive  Status = "active"
+	StatusExpired Status = "expired"
+	StatusDeleted Status = "deleted"
+)
+
+// RegisterObject registriert ein Objekt eines beliebigen Moduls unter
+// seinem Typ+Referenz — idempotent (ON CONFLICT), ein Adapter kann ein
+// bereits bekanntes Objekt gefahrlos erneut registrieren
+// (Akzeptanzkriterium 1: bildet beliebige Objekttypen ab, ohne
+// modulspezifische Spalten).
+func RegisterObject(ctx context.Context, pool *pgxpool.Pool, objectType, objectReference string) (string, error) {
+	var id string
+	err := pool.QueryRow(ctx, `
+		INSERT INTO retention_objects (object_type, object_reference)
+		VALUES ($1, $2)
+		ON CONFLICT (object_type, object_reference) DO UPDATE SET object_type = EXCLUDED.object_type
+		RETURNING id
+	`, objectType, objectReference).Scan(&id)
+	if err != nil {
+		return "", fmt.Errorf("retention: objekt registrieren: %w", err)
+	}
+	return id, nil
+}
+
+// Assignment ist EINE historische Zuordnung einer Aufbewahrungsklasse.
+type Assignment struct {
+	RetentionClass string
+	AssignedAt     time.Time
+}
+
+// AssignClass ordnet einem Retention-Objekt eine neue Aufbewahrungsklasse
+// zu — fügt IMMER eine neue Zeile hinzu, ändert nie eine bestehende
+// (Akzeptanzkriterium 2: historisierbar).
+func AssignClass(ctx context.Context, pool *pgxpool.Pool, retentionObjectID, retentionClass string) error {
+	_, err := pool.Exec(ctx, `
+		INSERT INTO retention_class_assignments (retention_object_id, retention_class)
+		VALUES ($1, $2)
+	`, retentionObjectID, retentionClass)
+	if err != nil {
+		return fmt.Errorf("retention: aufbewahrungsklasse zuordnen: %w", err)
+	}
+	return nil
+}
+
+// CurrentClass liefert die AKTUELLE Aufbewahrungsklasse (jüngste
+// Zuordnung) eines Retention-Objekts.
+func CurrentClass(ctx context.Context, pool *pgxpool.Pool, retentionObjectID string) (Assignment, error) {
+	var a Assignment
+	err := pool.QueryRow(ctx, `
+		SELECT retention_class, assigned_at FROM retention_class_assignments
+		WHERE retention_object_id = $1
+		ORDER BY assigned_at DESC LIMIT 1
+	`, retentionObjectID).Scan(&a.RetentionClass, &a.AssignedAt)
+	if err != nil {
+		return Assignment{}, fmt.Errorf("retention: aktuelle aufbewahrungsklasse lesen: %w", err)
+	}
+	return a, nil
+}
+
+// ClassHistory liefert ALLE Zuordnungen eines Retention-Objekts,
+// chronologisch aufsteigend — voller Nachvollzug der Historie.
+func ClassHistory(ctx context.Context, pool *pgxpool.Pool, retentionObjectID string) ([]Assignment, error) {
+	rows, err := pool.Query(ctx, `
+		SELECT retention_class, assigned_at FROM retention_class_assignments
+		WHERE retention_object_id = $1
+		ORDER BY assigned_at ASC
+	`, retentionObjectID)
+	if err != nil {
+		return nil, fmt.Errorf("retention: klassenhistorie lesen: %w", err)
+	}
+	defer rows.Close()
+
+	var history []Assignment
+	for rows.Next() {
+		var a Assignment
+		if err := rows.Scan(&a.RetentionClass, &a.AssignedAt); err != nil {
+			return nil, fmt.Errorf("retention: historien-zeile lesen: %w", err)
+		}
+		history = append(history, a)
+	}
+	return history, rows.Err()
+}

archive/internal/retention/retention_test.go

@@ -0,0 +1,137 @@
+package retention
+
+import (
+	"context"
+	"os"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+const schemaSQL = `
+	CREATE EXTENSION IF NOT EXISTS pgcrypto;
+	CREATE TABLE IF NOT EXISTS retention_objects (
+		id UUID PRIMARY KEY DEFAULT gen_random_uuid(), object_type TEXT NOT NULL,
+		object_reference TEXT NOT NULL,
+		status TEXT NOT NULL DEFAULT 'active' CHECK (status IN ('active', 'expired', 'deleted')),
+		created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+		UNIQUE (object_type, object_reference)
+	);
+	CREATE TABLE IF NOT EXISTS retention_class_assignments (
+		id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+		retention_object_id UUID NOT NULL REFERENCES retention_objects(id) ON DELETE CASCADE,
+		retention_class TEXT NOT NULL, assigned_at TIMESTAMPTZ NOT NULL DEFAULT now()
+	);
+`
+
+func requireTestPool(t *testing.T, dsn string) *pgxpool.Pool {
+	t.Helper()
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	t.Cleanup(func() { pool.Close() })
+
+	if _, err := pool.Exec(ctx, schemaSQL); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `TRUNCATE retention_class_assignments, retention_objects CASCADE`)
+	})
+	return pool
+}
+
+// TestRegisterObject_MapsDMSAndMailAdapterObjectsIdentically ist
+// Pruefung 2: Testobjekt aus fiktivem DMS- und Mail-Adapter beide
+// korrekt abgebildet - KEINE modulspezifischen Spalten noetig, nur
+// object_type/object_reference.
+func TestRegisterObject_MapsDMSAndMailAdapterObjectsIdentically(t *testing.T) {
+	pool := requireTestPool(t, os.Getenv("TEST_TENANT_DSN"))
+	ctx := context.Background()
+
+	dmsID, err := RegisterObject(ctx, pool, "dms_document", "doc-123")
+	if err != nil {
+		t.Fatalf("dms-adapter registrieren: %v", err)
+	}
+	mailID, err := RegisterObject(ctx, pool, "mail_message", "msg-456")
+	if err != nil {
+		t.Fatalf("mail-adapter registrieren: %v", err)
+	}
+	if dmsID == "" || mailID == "" || dmsID == mailID {
+		t.Fatalf("erwartet zwei unterschiedliche, gueltige ids, habe dms=%q mail=%q", dmsID, mailID)
+	}
+
+	// Idempotenz: erneute Registrierung desselben Objekts liefert dieselbe id.
+	dmsIDAgain, err := RegisterObject(ctx, pool, "dms_document", "doc-123")
+	if err != nil {
+		t.Fatalf("erneute registrierung: %v", err)
+	}
+	if dmsIDAgain != dmsID {
+		t.Fatalf("erneute registrierung lieferte andere id: %q, want %q", dmsIDAgain, dmsID)
+	}
+}
+
+// TestAssignClass_IsHistoricized ist Pruefung fuer Akzeptanzkriterium 2:
+// Aufbewahrungsklasse ist eindeutig zugeordnet UND historisierbar.
+func TestAssignClass_IsHistoricized(t *testing.T) {
+	pool := requireTestPool(t, os.Getenv("TEST_TENANT_DSN"))
+	ctx := context.Background()
+
+	objID, err := RegisterObject(ctx, pool, "dms_document", "doc-hist")
+	if err != nil {
+		t.Fatalf("registrieren: %v", err)
+	}
+	if err := AssignClass(ctx, pool, objID, "klasse-A"); err != nil {
+		t.Fatalf("erste zuordnung: %v", err)
+	}
+	if err := AssignClass(ctx, pool, objID, "klasse-B"); err != nil {
+		t.Fatalf("zweite zuordnung: %v", err)
+	}
+
+	current, err := CurrentClass(ctx, pool, objID)
+	if err != nil {
+		t.Fatalf("currentclass: %v", err)
+	}
+	if current.RetentionClass != "klasse-B" {
+		t.Fatalf("aktuelle klasse = %q, want klasse-B", current.RetentionClass)
+	}
+
+	history, err := ClassHistory(ctx, pool, objID)
+	if err != nil {
+		t.Fatalf("classhistory: %v", err)
+	}
+	if len(history) != 2 || history[0].RetentionClass != "klasse-A" || history[1].RetentionClass != "klasse-B" {
+		t.Fatalf("erwartet [klasse-A, klasse-B] chronologisch, habe %+v", history)
+	}
+}
+
+// TestTenantIsolation_Negativtest ist Pruefung 3: ein in Tenant-DB A
+// registriertes Objekt ist ueber eine Verbindung zu Tenant-DB B technisch
+// nicht sichtbar - real gegen zwei unabhaengige Datenbanken (Modell C,
+// TEN-01), keine gemeinsame Tabelle mit tenant_id-Filter.
+func TestTenantIsolation_Negativtest(t *testing.T) {
+	dsnA := os.Getenv("TEST_TENANT_DSN")
+	dsnB := os.Getenv("TEST_TENANT_DSN_B")
+	if dsnA == "" || dsnB == "" {
+		t.Skip("TEST_TENANT_DSN und TEST_TENANT_DSN_B nicht beide gesetzt, Integrationstest uebersprungen")
+	}
+	poolA := requireTestPool(t, dsnA)
+	poolB := requireTestPool(t, dsnB)
+	ctx := context.Background()
+
+	if _, err := RegisterObject(ctx, poolA, "dms_document", "nur-in-tenant-a"); err != nil {
+		t.Fatalf("registrieren in tenant a: %v", err)
+	}
+
+	var count int
+	if err := poolB.QueryRow(ctx, `SELECT count(*) FROM retention_objects WHERE object_reference = 'nur-in-tenant-a'`).Scan(&count); err != nil {
+		t.Fatalf("tenant b abfragen: %v", err)
+	}
+	if count != 0 {
+		t.Fatalf("objekt aus tenant a in tenant b sichtbar (count=%d) - mandantentrennung verletzt", count)
+	}
+}

archive/internal/retentionapi/authz.go

@@ -0,0 +1,50 @@
+// Package retentionapi implementiert RET-06-API: die Backend-Seite der
+// Aufbewahrungsfristen-Konfigurationsoberfläche (CRUD auf
+// Aufbewahrungsklassen + Vorschauliste ablaufender Objekte). Das
+// Next.js-Frontend selbst ist NICHT Teil dieses Tickets (Board-
+// Entscheidung: Backend-API zuerst, Frontend als eigenes Folgeticket).
+package retentionapi
+
+import (
+	"errors"
+	"net/http"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/rbacclient"
+)
+
+// requestedRoleHeader trägt die vom Aufrufer beanspruchte Rolle. Die
+// eigentliche Autorisierungsentscheidung trifft NICHT dieser Header,
+// sondern Core RBAC-06 (siehe RequireRBAC) — der Header ist nur die
+// Behauptung, RBAC-06 prüft sie gegen die echten Policy-Rules.
+const requestedRoleHeader = "X-User-Role"
+
+// RequireRBAC ist RET-08: die Ablösung des früheren, header-basierten
+// Provisoriums (siehe archive/docs/RET-06-API-PRUEFPROTOKOLL.md) durch
+// einen echten Aufruf von Core RBAC-06 (POST /authorize). Fail-closed:
+// jeder Fehler beim Aufruf von RBAC-06 (Transport, Timeout, Ablehnung)
+// führt zur Verweigerung, niemals zu stillschweigendem Zugriff.
+func RequireRBAC(client *rbacclient.Client, permission string, next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		role := r.Header.Get(requestedRoleHeader)
+		if role == "" {
+			http.Error(w, "zugriff verweigert: header "+requestedRoleHeader+" erforderlich", http.StatusForbidden)
+			return
+		}
+		allowed, err := client.Authorize(r.Context(), role, permission)
+		if err != nil {
+			if errors.Is(err, rbacclient.ErrDenied) {
+				http.Error(w, "zugriff verweigert: rolle "+role+" hat kein recht "+permission, http.StatusForbidden)
+				return
+			}
+			// RBAC-06 nicht erreichbar oder fehlerhafte Antwort:
+			// fail-closed, kein Fallback auf offenen Zugriff.
+			http.Error(w, "zugriff verweigert: autorisierungsdienst nicht erreichbar", http.StatusForbidden)
+			return
+		}
+		if !allowed {
+			http.Error(w, "zugriff verweigert: rolle "+role+" hat kein recht "+permission, http.StatusForbidden)
+			return
+		}
+		next(w, r)
+	}
+}

archive/internal/retentionapi/authz_test.go

@@ -0,0 +1,125 @@
+package retentionapi
+
+import (
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"testing"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/rbacclient"
+)
+
+const testServiceToken = "test-service-token"
+
+// fakeRBACServer simuliert Core RBAC-06 (POST /authorize): erlaubt nur
+// die genau angegebene role/permission-Kombination, verlangt den
+// Service-Token. Damit werden RequireRBAC-Aufrufe real über HTTP
+// getestet, ohne echtes Core-Modul.
+func fakeRBACServer(t *testing.T, allowRole, allowPermission string) *rbacclient.Client {
+	t.Helper()
+	mux := http.NewServeMux()
+	mux.HandleFunc("POST /authorize", func(w http.ResponseWriter, r *http.Request) {
+		if r.Header.Get("X-Service-Token") != testServiceToken {
+			http.Error(w, "kein service-token", http.StatusUnauthorized)
+			return
+		}
+		var req struct {
+			Role       string `json:"role"`
+			Permission string `json:"permission"`
+		}
+		if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+			http.Error(w, err.Error(), http.StatusBadRequest)
+			return
+		}
+		allowed := req.Role == allowRole && req.Permission == allowPermission
+		w.Header().Set("Content-Type", "application/json")
+		_ = json.NewEncoder(w).Encode(map[string]bool{"allowed": allowed})
+	})
+	server := httptest.NewServer(mux)
+	t.Cleanup(server.Close)
+	return rbacclient.New(server.URL, testServiceToken)
+}
+
+// TestRequireRBAC_DeniedRoleReturns403 ist die vom Nutzer geforderte
+// Negativpruefung, jetzt gegen echte Policy-Rules ueber RBAC-06 (nicht
+// mehr nur ein Header-Wert wie im frueheren Provisorium).
+func TestRequireRBAC_DeniedRoleReturns403(t *testing.T) {
+	client := fakeRBACServer(t, "archive_admin", "retention.configure")
+	handler := RequireRBAC(client, "retention.configure", func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+	server := httptest.NewServer(handler)
+	defer server.Close()
+
+	// Kein Rollen-Header.
+	resp, err := http.Get(server.URL)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusForbidden {
+		t.Fatalf("ohne rollen-header: status = %d, want 403", resp.StatusCode)
+	}
+
+	// Falsche Rolle - RBAC-06 lehnt real ab.
+	req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
+	req.Header.Set(requestedRoleHeader, "irgendwas_anderes")
+	resp2, err := http.DefaultClient.Do(req)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	defer func() { _ = resp2.Body.Close() }()
+	if resp2.StatusCode != http.StatusForbidden {
+		t.Fatalf("mit falscher rolle: status = %d, want 403", resp2.StatusCode)
+	}
+}
+
+// TestRequireRBAC_AllowedRoleGrantsAccess ist der positive Gegentest,
+// real gegen die fake-RBAC-06-Antwort geprueft.
+func TestRequireRBAC_AllowedRoleGrantsAccess(t *testing.T) {
+	client := fakeRBACServer(t, "archive_admin", "retention.configure")
+	handler := RequireRBAC(client, "retention.configure", func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+	server := httptest.NewServer(handler)
+	defer server.Close()
+
+	req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
+	req.Header.Set(requestedRoleHeader, "archive_admin")
+	resp, err := http.DefaultClient.Do(req)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusOK {
+		t.Fatalf("mit korrekter rolle: status = %d, want 200", resp.StatusCode)
+	}
+}
+
+// TestRequireRBAC_UnreachableRBACFailsClosed ist die geforderte
+// Pflichtpruefung: Ausfall von RBAC-06 fuehrt zur Ablehnung, kein
+// Fallback auf offenen Zugriff.
+func TestRequireRBAC_UnreachableRBACFailsClosed(t *testing.T) {
+	unreachable := rbacclient.New("http://127.0.0.1:1", testServiceToken)
+	called := false
+	handler := RequireRBAC(unreachable, "retention.configure", func(w http.ResponseWriter, r *http.Request) {
+		called = true
+		w.WriteHeader(http.StatusOK)
+	})
+	server := httptest.NewServer(handler)
+	defer server.Close()
+
+	req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
+	req.Header.Set(requestedRoleHeader, "archive_admin")
+	resp, err := http.DefaultClient.Do(req)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusForbidden {
+		t.Fatalf("bei nicht erreichbarem rbac-06: status = %d, want 403 (fail-closed)", resp.StatusCode)
+	}
+	if called {
+		t.Fatal("handler haette bei nicht erreichbarem rbac-06 nie erreicht werden duerfen")
+	}
+}

archive/internal/retentionapi/handler.go

@@ -0,0 +1,101 @@
+package retentionapi
+
+import (
+	"encoding/json"
+	"net/http"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/rbacclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionengine"
+)
+
+// retentionConfigurePermission ist das bei Core RBAC-02/RBAC-06
+// geprüfte Recht für alle RET-06-API-Endpunkte.
+const retentionConfigurePermission = "retention.configure"
+
+// Mount registriert alle RET-06-API-Endpunkte auf mux, jeweils hinter
+// RequireRBAC (RET-08, echter RBAC-06-Aufruf) — Akzeptanzkriterium 3:
+// Änderungen an Fristen sind nur berechtigten Rollen zugänglich.
+func Mount(mux *http.ServeMux, pool *pgxpool.Pool, rbac *rbacclient.Client) {
+	mux.HandleFunc("POST /retention-classes", RequireRBAC(rbac, retentionConfigurePermission, configureHandler(pool)))
+	mux.HandleFunc("POST /retention-classes/{class}/deactivate", RequireRBAC(rbac, retentionConfigurePermission, deactivateHandler(pool)))
+	mux.HandleFunc("GET /retention-classes", RequireRBAC(rbac, retentionConfigurePermission, listHandler(pool)))
+	mux.HandleFunc("GET /retention-classes/preview", RequireRBAC(rbac, retentionConfigurePermission, previewHandler(pool)))
+}
+
+type configureRequest struct {
+	RetentionClass string `json:"retention_class"`
+	Duration       string `json:"duration"`
+}
+
+// configureHandler: Aufbewahrungsklasse anlegen ODER ändern
+// (Akzeptanzkriterium 1) — `retentionengine.ConfigureClassRule` ist ein
+// UPSERT, eine Änderung wirkt erst ab jetzt auf künftige
+// Stichtagsberechnungen (Pflichtprüfung: nicht rückwirkend).
+func configureHandler(pool *pgxpool.Pool) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		var req configureRequest
+		if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+			http.Error(w, "ungültiger request-body: "+err.Error(), http.StatusBadRequest)
+			return
+		}
+		if req.RetentionClass == "" || req.Duration == "" {
+			http.Error(w, "retention_class und duration sind pflichtfelder", http.StatusBadRequest)
+			return
+		}
+		if err := retentionengine.ConfigureClassRule(r.Context(), pool, req.RetentionClass, req.Duration); err != nil {
+			http.Error(w, err.Error(), http.StatusInternalServerError)
+			return
+		}
+		w.WriteHeader(http.StatusOK)
+	}
+}
+
+// deactivateHandler: Aufbewahrungsklasse deaktivieren (Akzeptanzkriterium 1).
+func deactivateHandler(pool *pgxpool.Pool) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		class := r.PathValue("class")
+		if err := retentionengine.DeactivateClassRule(r.Context(), pool, class); err != nil {
+			http.Error(w, err.Error(), http.StatusNotFound)
+			return
+		}
+		w.WriteHeader(http.StatusOK)
+	}
+}
+
+// listHandler liefert alle konfigurierten Aufbewahrungsklassen (aktiv
+// und deaktiviert) — Grundlage der künftigen Konfigurationsoberfläche.
+func listHandler(pool *pgxpool.Pool) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		rules, err := retentionengine.ListClassRules(r.Context(), pool)
+		if err != nil {
+			http.Error(w, err.Error(), http.StatusInternalServerError)
+			return
+		}
+		w.Header().Set("Content-Type", "application/json")
+		_ = json.NewEncoder(w).Encode(rules)
+	}
+}
+
+// previewHandler liefert die Vorschauliste bald ablaufender Objekte
+// (Akzeptanzkriterium 2: Standard 30 Tage, per `days`-Query-Parameter
+// überschreibbar). Nutzt DIESELBE `ListExpiringObjects`-Funktion wie
+// der periodische Job (RET-02) — Pflichtprüfung: Vorschauliste stimmt
+// mit dem Ergebnis des periodischen Jobs überein (keine zweite,
+// abweichende Implementierung).
+func previewHandler(pool *pgxpool.Pool) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		days := 30
+		asOf := time.Now().UTC().AddDate(0, 0, days)
+
+		objects, err := retentionengine.ListExpiringObjects(r.Context(), pool, asOf)
+		if err != nil {
+			http.Error(w, err.Error(), http.StatusInternalServerError)
+			return
+		}
+		w.Header().Set("Content-Type", "application/json")
+		_ = json.NewEncoder(w).Encode(objects)
+	}
+}

archive/internal/retentionapi/handler_test.go

@@ -0,0 +1,174 @@
+package retentionapi
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionengine"
+)
+
+func requireTestPool(t *testing.T) *pgxpool.Pool {
+	t.Helper()
+	dsn := os.Getenv("TEST_TENANT_DSN")
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	t.Cleanup(func() { pool.Close() })
+
+	if _, err := pool.Exec(ctx, `
+		CREATE EXTENSION IF NOT EXISTS pgcrypto;
+		CREATE TABLE IF NOT EXISTS retention_objects (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), object_type TEXT NOT NULL,
+			object_reference TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active' CHECK (status IN ('active', 'expired', 'deleted')),
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+			UNIQUE (object_type, object_reference)
+		);
+		CREATE TABLE IF NOT EXISTS retention_class_assignments (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			retention_object_id UUID NOT NULL REFERENCES retention_objects(id) ON DELETE CASCADE,
+			retention_class TEXT NOT NULL, assigned_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS retention_class_rules (
+			retention_class TEXT PRIMARY KEY, duration INTERVAL NOT NULL,
+			active BOOLEAN NOT NULL DEFAULT true
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `TRUNCATE retention_class_assignments, retention_objects CASCADE; TRUNCATE retention_class_rules`)
+	})
+	return pool
+}
+
+func authedRequest(t *testing.T, method, url string, body []byte) *http.Response {
+	t.Helper()
+	var reader *bytes.Reader
+	if body != nil {
+		reader = bytes.NewReader(body)
+	} else {
+		reader = bytes.NewReader(nil)
+	}
+	req, err := http.NewRequest(method, url, reader)
+	if err != nil {
+		t.Fatalf("request erstellen: %v", err)
+	}
+	req.Header.Set(requestedRoleHeader, "archive_admin")
+	resp, err := http.DefaultClient.Do(req)
+	if err != nil {
+		t.Fatalf("request senden: %v", err)
+	}
+	return resp
+}
+
+// TestConfigureAndListHandler_RealHTTPRoundTrip: Klasse anlegen, ändern,
+// über die Liste sichtbar - Akzeptanzkriterium 1.
+func TestConfigureAndListHandler_RealHTTPRoundTrip(t *testing.T) {
+	pool := requireTestPool(t)
+	mux := http.NewServeMux()
+	Mount(mux, pool, fakeRBACServer(t, "archive_admin", retentionConfigurePermission))
+	server := httptest.NewServer(mux)
+	defer server.Close()
+
+	body, _ := json.Marshal(configureRequest{RetentionClass: "klasse-api", Duration: "5 years"})
+	resp := authedRequest(t, http.MethodPost, server.URL+"/retention-classes", body)
+	if resp.StatusCode != http.StatusOK {
+		t.Fatalf("anlegen: status = %d, want 200", resp.StatusCode)
+	}
+	_ = resp.Body.Close()
+
+	listResp := authedRequest(t, http.MethodGet, server.URL+"/retention-classes", nil)
+	defer func() { _ = listResp.Body.Close() }()
+	var rules []retentionengine.ClassRule
+	if err := json.NewDecoder(listResp.Body).Decode(&rules); err != nil {
+		t.Fatalf("liste dekodieren: %v", err)
+	}
+	if len(rules) != 1 || rules[0].RetentionClass != "klasse-api" || !rules[0].Active {
+		t.Fatalf("unerwartete liste: %+v", rules)
+	}
+}
+
+// TestDeactivateHandler_RealHTTPRoundTrip: Deaktivierung wirkt real.
+func TestDeactivateHandler_RealHTTPRoundTrip(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+	if err := retentionengine.ConfigureClassRule(ctx, pool, "klasse-deakt", "1 year"); err != nil {
+		t.Fatal(err)
+	}
+	mux := http.NewServeMux()
+	Mount(mux, pool, fakeRBACServer(t, "archive_admin", retentionConfigurePermission))
+	server := httptest.NewServer(mux)
+	defer server.Close()
+
+	resp := authedRequest(t, http.MethodPost, server.URL+"/retention-classes/klasse-deakt/deactivate", nil)
+	defer func() { _ = resp.Body.Close() }()
+	if resp.StatusCode != http.StatusOK {
+		t.Fatalf("deaktivieren: status = %d, want 200", resp.StatusCode)
+	}
+
+	rules, err := retentionengine.ListClassRules(ctx, pool)
+	if err != nil {
+		t.Fatalf("listclassrules: %v", err)
+	}
+	if len(rules) != 1 || rules[0].Active {
+		t.Fatalf("erwartet deaktivierte klasse, habe %+v", rules)
+	}
+}
+
+// TestPreviewHandler_MatchesPeriodicJobResult ist die geforderte
+// Pflichtpruefung: Vorschauliste stimmt mit dem Ergebnis des
+// periodischen Jobs ueberein - beide nutzen dieselbe Funktion, real
+// per HTTP UND direkt verglichen.
+func TestPreviewHandler_MatchesPeriodicJobResult(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := retentionengine.ConfigureClassRule(ctx, pool, "klasse-preview", "1 day"); err != nil {
+		t.Fatal(err)
+	}
+	var objID string
+	if err := pool.QueryRow(ctx, `INSERT INTO retention_objects (object_type, object_reference) VALUES ('dms_document', 'preview-doc') RETURNING id`).Scan(&objID); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := pool.Exec(ctx, `INSERT INTO retention_class_assignments (retention_object_id, retention_class) VALUES ($1, 'klasse-preview')`, objID); err != nil {
+		t.Fatal(err)
+	}
+
+	mux := http.NewServeMux()
+	Mount(mux, pool, fakeRBACServer(t, "archive_admin", retentionConfigurePermission))
+	server := httptest.NewServer(mux)
+	defer server.Close()
+
+	resp := authedRequest(t, http.MethodGet, server.URL+"/retention-classes/preview", nil)
+	defer func() { _ = resp.Body.Close() }()
+	var httpResult []retentionengine.ExpiringObject
+	if err := json.NewDecoder(resp.Body).Decode(&httpResult); err != nil {
+		t.Fatalf("preview-antwort dekodieren: %v", err)
+	}
+
+	directResult, err := retentionengine.ListExpiringObjects(ctx, pool, time.Now().UTC().AddDate(0, 0, 30))
+	if err != nil {
+		t.Fatalf("listexpiringobjects direkt: %v", err)
+	}
+
+	if len(httpResult) != len(directResult) || len(httpResult) != 1 {
+		t.Fatalf("http-vorschau (%d) und periodischer job (%d) stimmen nicht ueberein", len(httpResult), len(directResult))
+	}
+	if httpResult[0].RetentionObjectID != directResult[0].RetentionObjectID {
+		t.Fatalf("http-vorschau und periodischer job liefern unterschiedliche objekte: %+v vs %+v", httpResult[0], directResult[0])
+	}
+}

archive/internal/retentionengine/retentionengine.go

@@ -0,0 +1,142 @@
+// Package retentionengine implementiert RET-02: Fristenmodell je
+// Aufbewahrungsklasse mit Stichtagsberechnung und ein periodischer Job,
+// der ablaufende Objekte ermittelt. Baut auf RET-01 (retention_objects,
+// retention_class_assignments) auf — kennt weiter keine Modul-Interna
+// (dieselbe Adapter-Disziplin).
+package retentionengine
+
+import (
+	"context"
+	"fmt"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// ConfigureClassRule legt die Frist (Postgres-INTERVAL, z. B. "10 years",
+// "6 months") für eine Aufbewahrungsklasse fest oder ändert sie
+// (Akzeptanzkriterium 1) — je Klasse GENAU eine aktive Regel.
+func ConfigureClassRule(ctx context.Context, pool *pgxpool.Pool, retentionClass, duration string) error {
+	_, err := pool.Exec(ctx, `
+		INSERT INTO retention_class_rules (retention_class, duration)
+		VALUES ($1, $2::interval)
+		ON CONFLICT (retention_class) DO UPDATE SET duration = EXCLUDED.duration
+	`, retentionClass, duration)
+	if err != nil {
+		return fmt.Errorf("retentionengine: fristregel konfigurieren: %w", err)
+	}
+	return nil
+}
+
+// ComputeDueDate berechnet den Stichtag aus Beginn (start) und der
+// konfigurierten Frist der Klasse — DELEGIERT an Postgres' eigene
+// INTERVAL-Arithmetik (Akzeptanzkriterium 2: korrekt inklusive
+// Schaltjahr/Monatsende), keine eigene Kalenderrechnung in Go, die von
+// Postgres' späterer WHERE-Klausel im periodischen Job abweichen könnte.
+// Nur AKTIVE Regeln werden verwendet (siehe DeactivateClassRule).
+func ComputeDueDate(ctx context.Context, pool *pgxpool.Pool, start time.Time, retentionClass string) (time.Time, error) {
+	var due time.Time
+	err := pool.QueryRow(ctx, `
+		SELECT $1::timestamptz + r.duration
+		FROM retention_class_rules r WHERE r.retention_class = $2 AND r.active
+	`, start, retentionClass).Scan(&due)
+	if err != nil {
+		return time.Time{}, fmt.Errorf("retentionengine: stichtag berechnen: %w", err)
+	}
+	return due, nil
+}
+
+// DeactivateClassRule (RET-06): eine Aufbewahrungsklasse wird deaktiviert,
+// OHNE ihre Historie (bereits erfolgte Zuordnungen/Berechnungen) zu
+// verlieren — kein DELETE. Deaktivierte Klassen fließen nicht mehr in
+// ComputeDueDate/ListExpiringObjects ein, ändern aber nichts an bereits
+// getroffenen Berechnungen (Pflichtprüfung: Änderung wirkt nur auf
+// künftige Berechnungen, nicht rückwirkend).
+func DeactivateClassRule(ctx context.Context, pool *pgxpool.Pool, retentionClass string) error {
+	tag, err := pool.Exec(ctx, `UPDATE retention_class_rules SET active = false WHERE retention_class = $1`, retentionClass)
+	if err != nil {
+		return fmt.Errorf("retentionengine: klasse deaktivieren: %w", err)
+	}
+	if tag.RowsAffected() == 0 {
+		return fmt.Errorf("retentionengine: unbekannte aufbewahrungsklasse %q", retentionClass)
+	}
+	return nil
+}
+
+// ClassRule ist EINE konfigurierte Aufbewahrungsklasse mit Frist und
+// Aktiv-Status.
+type ClassRule struct {
+	RetentionClass string
+	Duration       string
+	Active         bool
+}
+
+// ListClassRules liefert alle konfigurierten Aufbewahrungsklassen
+// (aktiv und deaktiviert) — Grundlage für die Konfigurationsoberfläche.
+func ListClassRules(ctx context.Context, pool *pgxpool.Pool) ([]ClassRule, error) {
+	rows, err := pool.Query(ctx, `SELECT retention_class, duration::text, active FROM retention_class_rules ORDER BY retention_class`)
+	if err != nil {
+		return nil, fmt.Errorf("retentionengine: aufbewahrungsklassen auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var rules []ClassRule
+	for rows.Next() {
+		var r ClassRule
+		if err := rows.Scan(&r.RetentionClass, &r.Duration, &r.Active); err != nil {
+			return nil, fmt.Errorf("retentionengine: klassen-zeile lesen: %w", err)
+		}
+		rules = append(rules, r)
+	}
+	return rules, rows.Err()
+}
+
+// ExpiringObject ist EIN Objekt, dessen Aufbewahrungsfrist erreicht ist.
+type ExpiringObject struct {
+	RetentionObjectID string
+	ObjectType        string
+	ObjectReference   string
+	RetentionClass    string
+	DueDate           time.Time
+}
+
+// ListExpiringObjects ist der periodische Job (Akzeptanzkriterium 3):
+// liefert alle aktiven Retention-Objekte, deren Stichtag (aktuelle
+// Klassenzuordnung + deren Frist) bis asOf erreicht ist. Betrachtet je
+// Objekt AUSSCHLIESSLICH die JÜNGSTE Klassenzuordnung (`DISTINCT ON`) -
+// ohne diese Einschränkung würde ein Objekt mit mehrfach geänderter
+// Klasse (RET-01s Historisierung) mehrfach im Ergebnis auftauchen,
+// genau der Doppelte-Einträge-Fehler, den Pflichtprüfung 3 ausschließt.
+// Ein leerer Bestand liefert eine leere Liste, keinen Fehler
+// (Akzeptanzkriterium/Pflichtprüfung 2).
+func ListExpiringObjects(ctx context.Context, pool *pgxpool.Pool, asOf time.Time) ([]ExpiringObject, error) {
+	rows, err := pool.Query(ctx, `
+		WITH latest_assignment AS (
+			SELECT DISTINCT ON (retention_object_id)
+				retention_object_id, retention_class, assigned_at
+			FROM retention_class_assignments
+			ORDER BY retention_object_id, assigned_at DESC
+		)
+		SELECT o.id, o.object_type, o.object_reference, a.retention_class,
+		       a.assigned_at + r.duration AS due_date
+		FROM retention_objects o
+		JOIN latest_assignment a ON a.retention_object_id = o.id
+		JOIN retention_class_rules r ON r.retention_class = a.retention_class AND r.active
+		WHERE o.status = 'active' AND (a.assigned_at + r.duration) <= $1
+		ORDER BY due_date ASC
+	`, asOf)
+	if err != nil {
+		return nil, fmt.Errorf("retentionengine: ablaufende objekte ermitteln: %w", err)
+	}
+	defer rows.Close()
+
+	var out []ExpiringObject
+	for rows.Next() {
+		var e ExpiringObject
+		if err := rows.Scan(&e.RetentionObjectID, &e.ObjectType, &e.ObjectReference, &e.RetentionClass, &e.DueDate); err != nil {
+			return nil, fmt.Errorf("retentionengine: zeile lesen: %w", err)
+		}
+		out = append(out, e)
+	}
+	return out, rows.Err()
+}

archive/internal/retentionengine/retentionengine_test.go

@@ -0,0 +1,222 @@
+package retentionengine
+
+import (
+	"context"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func requireTestPool(t *testing.T) *pgxpool.Pool {
+	t.Helper()
+	dsn := os.Getenv("TEST_TENANT_DSN")
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	t.Cleanup(func() { pool.Close() })
+
+	if _, err := pool.Exec(ctx, `
+		CREATE EXTENSION IF NOT EXISTS pgcrypto;
+		CREATE TABLE IF NOT EXISTS retention_objects (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), object_type TEXT NOT NULL,
+			object_reference TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active' CHECK (status IN ('active', 'expired', 'deleted')),
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+			UNIQUE (object_type, object_reference)
+		);
+		CREATE TABLE IF NOT EXISTS retention_class_assignments (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			retention_object_id UUID NOT NULL REFERENCES retention_objects(id) ON DELETE CASCADE,
+			retention_class TEXT NOT NULL, assigned_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS retention_class_rules (
+			retention_class TEXT PRIMARY KEY, duration INTERVAL NOT NULL,
+			active BOOLEAN NOT NULL DEFAULT true
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `TRUNCATE retention_class_assignments, retention_objects CASCADE; TRUNCATE retention_class_rules`)
+	})
+	return pool
+}
+
+func mustTime(t *testing.T, layout, value string) time.Time {
+	t.Helper()
+	tm, err := time.Parse(layout, value)
+	if err != nil {
+		t.Fatalf("zeitangabe parsen: %v", err)
+	}
+	return tm
+}
+
+// TestComputeDueDate_KnownReferenceDates ist Pruefung 1: Fristberechnung
+// an Referenzdaten mit bekannten Ablaufdaten geprueft - inklusive
+// Schaltjahr und Monatsende (Akzeptanzkriterium 2). Erwartete Werte real
+// gegen Postgres verifiziert (dessen eigene INTERVAL-Arithmetik ist die
+// Quelle der Wahrheit, keine eigene Nachbildung in Go).
+func TestComputeDueDate_KnownReferenceDates(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := ConfigureClassRule(ctx, pool, "klasse-1-jahr", "1 year"); err != nil {
+		t.Fatalf("regel konfigurieren: %v", err)
+	}
+	if err := ConfigureClassRule(ctx, pool, "klasse-1-monat", "1 month"); err != nil {
+		t.Fatalf("regel konfigurieren: %v", err)
+	}
+
+	cases := []struct {
+		name           string
+		start          time.Time
+		retentionClass string
+		want           time.Time
+	}{
+		{
+			name:           "schaltjahr 29. februar plus 1 jahr",
+			start:          mustTime(t, "2006-01-02", "2024-02-29"),
+			retentionClass: "klasse-1-jahr",
+			want:           mustTime(t, "2006-01-02", "2025-02-28"),
+		},
+		{
+			name:           "monatsende 31. januar plus 1 monat",
+			start:          mustTime(t, "2006-01-02", "2026-01-31"),
+			retentionClass: "klasse-1-monat",
+			want:           mustTime(t, "2006-01-02", "2026-02-28"),
+		},
+	}
+	for _, c := range cases {
+		t.Run(c.name, func(t *testing.T) {
+			got, err := ComputeDueDate(ctx, pool, c.start, c.retentionClass)
+			if err != nil {
+				t.Fatalf("computeduedate: %v", err)
+			}
+			if !got.UTC().Equal(c.want.UTC()) {
+				t.Fatalf("stichtag = %v, want %v", got, c.want)
+			}
+		})
+	}
+}
+
+// TestConfigureClassRule_ChangeAppliesOnlyToFutureCalculations ist
+// Pruefung fuer RET-06: eine Fristaenderung wirkt sich nur auf
+// KUENFTIGE Berechnungen aus, nicht rueckwirkend - real bewiesen, indem
+// ein bereits berechneter Stichtag (in einer lokalen Variable, dem
+// einzigen Ort, an dem ein "bereits berechnetes" Ergebnis ueberhaupt
+// existiert - es gibt keine Tabelle, die rueckwirkend veraendert werden
+// koennte) nach der Regelaenderung unveraendert bleibt, waehrend eine
+// NEUE Berechnung fuer dieselbe Klasse die NEUE Frist verwendet.
+func TestConfigureClassRule_ChangeAppliesOnlyToFutureCalculations(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+	start := mustTime(t, "2006-01-02", "2026-01-01")
+
+	if err := ConfigureClassRule(ctx, pool, "klasse-aenderung", "1 year"); err != nil {
+		t.Fatal(err)
+	}
+	before, err := ComputeDueDate(ctx, pool, start, "klasse-aenderung")
+	if err != nil {
+		t.Fatalf("erste berechnung: %v", err)
+	}
+
+	if err := ConfigureClassRule(ctx, pool, "klasse-aenderung", "2 years"); err != nil {
+		t.Fatal(err)
+	}
+
+	// Der bereits berechnete Wert (before) bleibt unveraendert - er ist
+	// eine lokale Kopie, es existiert keine Tabelle, die eine
+	// nachtraegliche "Umschreibung" ermoeglichen wuerde.
+	if !before.Equal(mustTime(t, "2006-01-02", "2027-01-01")) {
+		t.Fatalf("bereits berechneter stichtag veraendert: %v", before)
+	}
+
+	after, err := ComputeDueDate(ctx, pool, start, "klasse-aenderung")
+	if err != nil {
+		t.Fatalf("zweite berechnung: %v", err)
+	}
+	if !after.Equal(mustTime(t, "2006-01-02", "2028-01-01")) {
+		t.Fatalf("neue berechnung uebernimmt neue frist nicht: %v", after)
+	}
+	if before.Equal(after) {
+		t.Fatal("neue frist haette eine andere berechnung liefern muessen")
+	}
+}
+
+// TestDeactivateClassRule_ExcludesFromFutureCalculations.
+func TestDeactivateClassRule_ExcludesFromFutureCalculations(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := ConfigureClassRule(ctx, pool, "klasse-deakt-eng", "1 year"); err != nil {
+		t.Fatal(err)
+	}
+	if err := DeactivateClassRule(ctx, pool, "klasse-deakt-eng"); err != nil {
+		t.Fatalf("deactivateclassrule: %v", err)
+	}
+	if _, err := ComputeDueDate(ctx, pool, time.Now(), "klasse-deakt-eng"); err == nil {
+		t.Fatal("erwartet fehler: deaktivierte klasse darf nicht mehr verwendet werden")
+	}
+}
+
+// TestListExpiringObjects_EmptyBacklogReturnsEmptyNotError ist Pruefung 2.
+func TestListExpiringObjects_EmptyBacklogReturnsEmptyNotError(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	got, err := ListExpiringObjects(ctx, pool, time.Now().UTC())
+	if err != nil {
+		t.Fatalf("erwartet keinen fehler bei leerem bestand, habe: %v", err)
+	}
+	if len(got) != 0 {
+		t.Fatalf("erwartet leere liste, habe %d eintraege", len(got))
+	}
+}
+
+// TestListExpiringObjects_NoDuplicatesAcrossHistoricalClassChanges ist
+// Pruefung 3: Mehrfachausfuehrung des Jobs erzeugt keine doppelten
+// Eintraege - real geprueft an einem Objekt mit MEHREREN historischen
+// Klassenzuordnungen (RET-01s Historisierung), das ohne die
+// DISTINCT-ON-Einschraenkung mehrfach im Ergebnis auftauchen wuerde.
+func TestListExpiringObjects_NoDuplicatesAcrossHistoricalClassChanges(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := ConfigureClassRule(ctx, pool, "klasse-kurz", "1 day"); err != nil {
+		t.Fatal(err)
+	}
+
+	var objID string
+	if err := pool.QueryRow(ctx, `
+		INSERT INTO retention_objects (object_type, object_reference) VALUES ('dms_document', 'doc-mehrfach') RETURNING id
+	`).Scan(&objID); err != nil {
+		t.Fatalf("objekt anlegen: %v", err)
+	}
+	past := time.Now().UTC().Add(-72 * time.Hour)
+	// zwei historische Zuordnungen fuer DASSELBE Objekt, beide in der
+	// Vergangenheit (also beide laengst abgelaufen, wenn nicht auf die
+	// juengste beschraenkt wuerde).
+	if _, err := pool.Exec(ctx, `INSERT INTO retention_class_assignments (retention_object_id, retention_class, assigned_at) VALUES ($1, 'klasse-kurz', $2)`, objID, past); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := pool.Exec(ctx, `INSERT INTO retention_class_assignments (retention_object_id, retention_class, assigned_at) VALUES ($1, 'klasse-kurz', $2)`, objID, past.Add(time.Hour)); err != nil {
+		t.Fatal(err)
+	}
+
+	for run := 1; run <= 2; run++ {
+		got, err := ListExpiringObjects(ctx, pool, time.Now().UTC())
+		if err != nil {
+			t.Fatalf("lauf %d: %v", run, err)
+		}
+		if len(got) != 1 {
+			t.Fatalf("lauf %d: erwartet genau 1 eintrag (kein duplikat trotz 2 historischer zuordnungen), habe %d: %+v", run, len(got), got)
+		}
+	}
+}

archive/internal/retentionnotify/retentionnotify.go

@@ -0,0 +1,158 @@
+// Package retentionnotify implementiert RET-07: Benachrichtigung einer
+// konfigurierten zuständigen Rolle (Tenant-Admin — RET-01 führt bewusst
+// keine Objekt-Owner-Beziehung) vor Ablauf einer Aufbewahrungsfrist,
+// konfigurierbarer Vorlauf je Aufbewahrungsklasse. Erzeugt NUR das
+// Ereignis über Core CFG-05 (archive/internal/notifyclient) — versendet
+// selbst keine E-Mail.
+package retentionnotify
+
+import (
+	"context"
+	"fmt"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/notifyclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionengine"
+)
+
+// EventType ist der an CFG-05 übergebene Ereignistyp — muss mit dem im
+// Frontend/Core bekannten Namen übereinstimmen (siehe CFG-05-Tests).
+const EventType = "retention_due_soon"
+
+// Recipient benennt Tenant-Slug, User-ID und E-Mail-Adresse der
+// konfigurierten zuständigen Rolle (Tenant-Admin), an die alle
+// Fristablauf-Benachrichtigungen dieses Tenants gehen.
+type Recipient struct {
+	TenantSlug string
+	UserID     string
+	Email      string
+}
+
+// Result ist das Ergebnis EINES benachrichtigten (oder fehlgeschlagenen)
+// Objekts — der Aufrufer (cmd/retention-notify-job) protokolliert Err
+// explizit, kein stillschweigendes Verwerfen (Pflichtprüfung 3).
+type Result struct {
+	RetentionObjectID string
+	RetentionClass    string
+	JobID             string
+	Skipped           bool
+	Err               error
+}
+
+type classRuleLead struct {
+	leadDays int
+	enabled  bool
+}
+
+// Run führt EINEN Durchlauf des Benachrichtigungs-Jobs aus: ermittelt je
+// aktiver, benachrichtigungs-aktivierter Aufbewahrungsklasse die Objekte,
+// deren Stichtag innerhalb des konfigurierten Vorlaufs liegt, überspringt
+// bereits benachrichtigte Objekte (Akzeptanzkriterium 2, Postgres-
+// persistent — übersteht einen Job-Neustart) und löst für den Rest je ein
+// Ereignis über CFG-05 aus.
+func Run(ctx context.Context, pool *pgxpool.Pool, client *notifyclient.Client, now time.Time, recipient Recipient) ([]Result, error) {
+	// notify_lead_days/notify_enabled sind nicht Teil von
+	// retentionengine.ClassRule (RET-02/RET-06 kennen sie nicht) — direkt
+	// gelesen, um retentionengine nicht um RET-07-eigene Felder zu
+	// erweitern (kein Umbau angrenzender Bereiche).
+	leadByClass := make(map[string]classRuleLead)
+	maxLeadDays := 0
+	leadRows, err := pool.Query(ctx, `SELECT retention_class, notify_lead_days, notify_enabled FROM retention_class_rules WHERE active`)
+	if err != nil {
+		return nil, fmt.Errorf("retentionnotify: benachrichtigungs-konfiguration laden: %w", err)
+	}
+	for leadRows.Next() {
+		var class string
+		var lead classRuleLead
+		if err := leadRows.Scan(&class, &lead.leadDays, &lead.enabled); err != nil {
+			leadRows.Close()
+			return nil, fmt.Errorf("retentionnotify: konfigurationszeile lesen: %w", err)
+		}
+		leadByClass[class] = lead
+		if lead.leadDays > maxLeadDays {
+			maxLeadDays = lead.leadDays
+		}
+	}
+	if err := leadRows.Err(); err != nil {
+		return nil, fmt.Errorf("retentionnotify: benachrichtigungs-konfiguration lesen: %w", err)
+	}
+	leadRows.Close()
+
+	if maxLeadDays == 0 {
+		return nil, nil
+	}
+
+	// Nutzt DIESELBE Funktion wie der RET-02-Job/RET-06-API-Preview
+	// (kein zweiter Ermittlungspfad) — asOf auf den größten konfigurierten
+	// Vorlauf gesetzt, je Klasse wird unten mit deren EIGENEM Vorlauf
+	// gefiltert.
+	candidates, err := retentionengine.ListExpiringObjects(ctx, pool, now.AddDate(0, 0, maxLeadDays))
+	if err != nil {
+		return nil, fmt.Errorf("retentionnotify: ablaufende objekte ermitteln: %w", err)
+	}
+
+	alreadyNotified, err := loadAlreadyNotified(ctx, pool)
+	if err != nil {
+		return nil, err
+	}
+
+	var results []Result
+	for _, obj := range candidates {
+		lead, known := leadByClass[obj.RetentionClass]
+		if !known || !lead.enabled {
+			continue
+		}
+		if !obj.DueDate.Before(now.AddDate(0, 0, lead.leadDays+1)) {
+			// Ausserhalb des klassen-eigenen Vorlaufs (nur mit dem
+			// globalen maxLeadDays vorselektiert).
+			continue
+		}
+		if alreadyNotified[obj.RetentionObjectID] {
+			continue
+		}
+
+		res := Result{RetentionObjectID: obj.RetentionObjectID, RetentionClass: obj.RetentionClass}
+		enq, err := client.Enqueue(ctx, recipient.TenantSlug, recipient.UserID, EventType, "email", recipient.Email, map[string]any{
+			"object_type":      obj.ObjectType,
+			"object_reference": obj.ObjectReference,
+			"retention_class":  obj.RetentionClass,
+			"due_date":         obj.DueDate.Format(time.RFC3339),
+		})
+		if err != nil {
+			res.Err = err
+			results = append(results, res)
+			// Kein INSERT in retention_notifications bei Fehler — das
+			// Objekt wird beim naechsten Durchlauf erneut versucht,
+			// statt stillschweigend als erledigt zu gelten.
+			continue
+		}
+		res.JobID = enq.JobID
+		res.Skipped = enq.Skipped
+
+		if _, err := pool.Exec(ctx, `INSERT INTO retention_notifications (retention_object_id) VALUES ($1)`, obj.RetentionObjectID); err != nil {
+			res.Err = fmt.Errorf("retentionnotify: benachrichtigung als versendet markieren: %w", err)
+		}
+		results = append(results, res)
+	}
+	return results, nil
+}
+
+func loadAlreadyNotified(ctx context.Context, pool *pgxpool.Pool) (map[string]bool, error) {
+	rows, err := pool.Query(ctx, `SELECT retention_object_id FROM retention_notifications`)
+	if err != nil {
+		return nil, fmt.Errorf("retentionnotify: bereits benachrichtigte objekte laden: %w", err)
+	}
+	defer rows.Close()
+
+	out := make(map[string]bool)
+	for rows.Next() {
+		var id string
+		if err := rows.Scan(&id); err != nil {
+			return nil, fmt.Errorf("retentionnotify: zeile lesen: %w", err)
+		}
+		out[id] = true
+	}
+	return out, rows.Err()
+}

archive/internal/retentionnotify/retentionnotify_test.go

@@ -0,0 +1,223 @@
+package retentionnotify
+
+import (
+	"context"
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"sync/atomic"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/notifyclient"
+	"gitea.perlbach24.de/scripte/nexarch/archive/internal/retentionengine"
+)
+
+func requireTestPool(t *testing.T) *pgxpool.Pool {
+	t.Helper()
+	dsn := os.Getenv("TEST_TENANT_DSN")
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	t.Cleanup(func() { pool.Close() })
+
+	if _, err := pool.Exec(ctx, `
+		CREATE EXTENSION IF NOT EXISTS pgcrypto;
+		CREATE TABLE IF NOT EXISTS retention_objects (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), object_type TEXT NOT NULL,
+			object_reference TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active' CHECK (status IN ('active', 'expired', 'deleted')),
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+			UNIQUE (object_type, object_reference)
+		);
+		CREATE TABLE IF NOT EXISTS retention_class_assignments (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			retention_object_id UUID NOT NULL REFERENCES retention_objects(id) ON DELETE CASCADE,
+			retention_class TEXT NOT NULL, assigned_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS retention_class_rules (
+			retention_class TEXT PRIMARY KEY, duration INTERVAL NOT NULL,
+			active BOOLEAN NOT NULL DEFAULT true
+		);
+		ALTER TABLE retention_class_rules ADD COLUMN IF NOT EXISTS notify_lead_days INT NOT NULL DEFAULT 7;
+		ALTER TABLE retention_class_rules ADD COLUMN IF NOT EXISTS notify_enabled BOOLEAN NOT NULL DEFAULT true;
+		CREATE TABLE IF NOT EXISTS retention_notifications (
+			retention_object_id UUID PRIMARY KEY REFERENCES retention_objects(id) ON DELETE CASCADE,
+			notified_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `TRUNCATE retention_notifications, retention_class_assignments, retention_objects CASCADE; TRUNCATE retention_class_rules`)
+	})
+	return pool
+}
+
+// fakeCFG05Server zaehlt Aufrufe und liefert eine feste Antwort - simuliert
+// den echten CFG-05-Endpunkt, ohne das Core-Modul einzubinden (Archive kann
+// es nicht direkt importieren, siehe notifyclient).
+func fakeCFG05Server(t *testing.T, fail bool) (*notifyclient.Client, *int32) {
+	t.Helper()
+	var calls int32
+	mux := http.NewServeMux()
+	mux.HandleFunc("POST /notify/enqueue", func(w http.ResponseWriter, r *http.Request) {
+		atomic.AddInt32(&calls, 1)
+		if fail {
+			http.Error(w, "simulierter zustellfehler", http.StatusInternalServerError)
+			return
+		}
+		w.Header().Set("Content-Type", "application/json")
+		_ = json.NewEncoder(w).Encode(map[string]any{"job_id": "fake-job-id", "skipped": false})
+	})
+	server := httptest.NewServer(mux)
+	t.Cleanup(server.Close)
+	return notifyclient.New(server.URL, "test-token"), &calls
+}
+
+// insertDueObject legt ein Objekt an, dessen Stichtag (assigned_at +
+// Klassen-Frist) genau dueIn ab jetzt liegt — die Subtraktion der Frist
+// erfolgt IN Postgres (dieselbe INTERVAL-Arithmetik wie ComputeDueDate),
+// keine eigene Kalenderrechnung in Go.
+func insertDueObject(t *testing.T, ctx context.Context, pool *pgxpool.Pool, objectRef, class string, dueIn time.Duration) string {
+	t.Helper()
+	var objID string
+	if err := pool.QueryRow(ctx, `INSERT INTO retention_objects (object_type, object_reference) VALUES ('dms_document', $1) RETURNING id`, objectRef).Scan(&objID); err != nil {
+		t.Fatalf("objekt anlegen: %v", err)
+	}
+	desiredDue := time.Now().UTC().Add(dueIn)
+	if _, err := pool.Exec(ctx, `
+		INSERT INTO retention_class_assignments (retention_object_id, retention_class, assigned_at)
+		SELECT $1, $2, $3::timestamptz - r.duration FROM retention_class_rules r WHERE r.retention_class = $2
+	`, objID, class, desiredDue); err != nil {
+		t.Fatalf("zuordnung anlegen: %v", err)
+	}
+	return objID
+}
+
+var testRecipient = Recipient{TenantSlug: "acme", UserID: "tenant-admin", Email: "admin@acme.example"}
+
+// TestRun_ShortLeadTimeTriggersExactlyOneNotification ist die geforderte
+// Pflichtpruefung 1.
+func TestRun_ShortLeadTimeTriggersExactlyOneNotification(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := retentionengine.ConfigureClassRule(ctx, pool, "klasse-kurz", "1 day"); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := pool.Exec(ctx, `UPDATE retention_class_rules SET notify_lead_days = 1, notify_enabled = true WHERE retention_class = 'klasse-kurz'`); err != nil {
+		t.Fatal(err)
+	}
+	insertDueObject(t, ctx, pool, "kurz-doc", "klasse-kurz", 12*time.Hour)
+
+	client, calls := fakeCFG05Server(t, false)
+	results, err := Run(ctx, pool, client, time.Now().UTC(), testRecipient)
+	if err != nil {
+		t.Fatalf("run: %v", err)
+	}
+	if len(results) != 1 || results[0].Err != nil {
+		t.Fatalf("erwartet genau ein ergebnis ohne fehler, habe: %+v", results)
+	}
+	if atomic.LoadInt32(calls) != 1 {
+		t.Fatalf("erwartet genau einen cfg-05-aufruf, habe %d", *calls)
+	}
+}
+
+// TestRun_DisabledNotificationSendsNothing ist die geforderte
+// Pflichtpruefung 2.
+func TestRun_DisabledNotificationSendsNothing(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := retentionengine.ConfigureClassRule(ctx, pool, "klasse-deaktiviert", "1 day"); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := pool.Exec(ctx, `UPDATE retention_class_rules SET notify_lead_days = 1, notify_enabled = false WHERE retention_class = 'klasse-deaktiviert'`); err != nil {
+		t.Fatal(err)
+	}
+	insertDueObject(t, ctx, pool, "deaktiviert-doc", "klasse-deaktiviert", 12*time.Hour)
+
+	client, calls := fakeCFG05Server(t, false)
+	results, err := Run(ctx, pool, client, time.Now().UTC(), testRecipient)
+	if err != nil {
+		t.Fatalf("run: %v", err)
+	}
+	if len(results) != 0 {
+		t.Fatalf("erwartet keine benachrichtigung bei deaktivierter klasse, habe: %+v", results)
+	}
+	if atomic.LoadInt32(calls) != 0 {
+		t.Fatalf("erwartet keinen cfg-05-aufruf, habe %d", *calls)
+	}
+}
+
+// TestRun_FailedDeliveryIsReportedNotSwallowed ist die geforderte
+// Pflichtpruefung 3.
+func TestRun_FailedDeliveryIsReportedNotSwallowed(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := retentionengine.ConfigureClassRule(ctx, pool, "klasse-fehler", "1 day"); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := pool.Exec(ctx, `UPDATE retention_class_rules SET notify_lead_days = 1, notify_enabled = true WHERE retention_class = 'klasse-fehler'`); err != nil {
+		t.Fatal(err)
+	}
+	objID := insertDueObject(t, ctx, pool, "fehler-doc", "klasse-fehler", 12*time.Hour)
+
+	client, _ := fakeCFG05Server(t, true)
+	results, err := Run(ctx, pool, client, time.Now().UTC(), testRecipient)
+	if err != nil {
+		t.Fatalf("run: %v", err)
+	}
+	if len(results) != 1 || results[0].Err == nil {
+		t.Fatalf("erwartet ein ergebnis MIT protokolliertem fehler, habe: %+v", results)
+	}
+
+	var count int
+	if err := pool.QueryRow(ctx, `SELECT count(*) FROM retention_notifications WHERE retention_object_id = $1`, objID).Scan(&count); err != nil {
+		t.Fatal(err)
+	}
+	if count != 0 {
+		t.Fatalf("fehlgeschlagener versand darf NICHT als benachrichtigt markiert werden (sonst kein retry)")
+	}
+}
+
+// TestRun_PreventsDoubleNotificationAcrossRuns ist Akzeptanzkriterium 2 -
+// Mehrfachversand wird verhindert, auch nach einem simulierten Neustart
+// (zweiter Run() mit frischem Aufruf, kein In-Memory-Zustand zwischen den
+// Durchlaeufen).
+func TestRun_PreventsDoubleNotificationAcrossRuns(t *testing.T) {
+	pool := requireTestPool(t)
+	ctx := context.Background()
+
+	if err := retentionengine.ConfigureClassRule(ctx, pool, "klasse-doppelt", "1 day"); err != nil {
+		t.Fatal(err)
+	}
+	if _, err := pool.Exec(ctx, `UPDATE retention_class_rules SET notify_lead_days = 1, notify_enabled = true WHERE retention_class = 'klasse-doppelt'`); err != nil {
+		t.Fatal(err)
+	}
+	insertDueObject(t, ctx, pool, "doppelt-doc", "klasse-doppelt", 12*time.Hour)
+
+	client, calls := fakeCFG05Server(t, false)
+	now := time.Now().UTC()
+
+	if _, err := Run(ctx, pool, client, now, testRecipient); err != nil {
+		t.Fatalf("erster run: %v", err)
+	}
+	if _, err := Run(ctx, pool, client, now, testRecipient); err != nil {
+		t.Fatalf("zweiter run (simulierter neustart): %v", err)
+	}
+
+	if atomic.LoadInt32(calls) != 1 {
+		t.Fatalf("erwartet genau einen cfg-05-aufruf ueber beide durchlaeufe, habe %d", *calls)
+	}
+}

archive/internal/tenantbackup/log.go

@@ -0,0 +1,76 @@
+package tenantbackup
+
+import (
+	"encoding/json"
+	"fmt"
+	"os"
+	"time"
+)
+
+// Operation unterscheidet Sicherung und Wiederherstellung im Protokoll.
+type Operation string
+
+const (
+	OpBackupDB   Operation = "backup_database"
+	OpRestoreDB  Operation = "restore_database"
+	OpBackupObj  Operation = "backup_objects"
+	OpRestoreObj Operation = "restore_objects"
+)
+
+// LogEntry ist EIN Protokolleintrag (Akzeptanzkriterium 3: Tenant-
+// Sicherung UND -Restore vollständig protokolliert).
+type LogEntry struct {
+	Timestamp time.Time `json:"timestamp"`
+	Operation Operation `json:"operation"`
+	TenantID  string    `json:"tenant_id"`
+	Source    string    `json:"source,omitempty"` // Dump-Pfad oder Snapshot-ID
+	Target    string    `json:"target,omitempty"` // Zieldatenbank oder Zielverzeichnis
+	Result    string    `json:"result"`           // "ok" oder Fehlertext
+}
+
+// AppendLog hängt entry an die JSONL-Protokolldatei an (append-only,
+// nichts wird überschrieben).
+func AppendLog(logPath string, entry LogEntry) error {
+	f, err := os.OpenFile(logPath, os.O_APPEND|os.O_CREATE|os.O_WRONLY, 0o600)
+	if err != nil {
+		return fmt.Errorf("tenantbackup: protokolldatei öffnen: %w", err)
+	}
+	defer func() { _ = f.Close() }()
+
+	line, err := json.Marshal(entry)
+	if err != nil {
+		return fmt.Errorf("tenantbackup: protokolleintrag kodieren: %w", err)
+	}
+	if _, err := f.Write(append(line, '\n')); err != nil {
+		return fmt.Errorf("tenantbackup: protokolleintrag schreiben: %w", err)
+	}
+	return nil
+}
+
+// ReadLog liest die vollständige Protokollhistorie.
+func ReadLog(logPath string) ([]LogEntry, error) {
+	data, err := os.ReadFile(logPath)
+	if err != nil {
+		if os.IsNotExist(err) {
+			return nil, nil
+		}
+		return nil, fmt.Errorf("tenantbackup: protokolldatei lesen: %w", err)
+	}
+	var entries []LogEntry
+	start := 0
+	for i := 0; i < len(data); i++ {
+		if data[i] == '\n' {
+			line := data[start:i]
+			start = i + 1
+			if len(line) == 0 {
+				continue
+			}
+			var e LogEntry
+			if err := json.Unmarshal(line, &e); err != nil {
+				return nil, fmt.Errorf("tenantbackup: protokollzeile dekodieren: %w", err)
+			}
+			entries = append(entries, e)
+		}
+	}
+	return entries, nil
+}

archive/internal/tenantbackup/log_test.go

@@ -0,0 +1,37 @@
+package tenantbackup
+
+import (
+	"path/filepath"
+	"testing"
+	"time"
+)
+
+// TestLog_BackupAndRestoreFullyLogged ist Pruefung 3: Tenant-Sicherung
+// UND -Restore vollstaendig protokolliert.
+func TestLog_BackupAndRestoreFullyLogged(t *testing.T) {
+	logPath := filepath.Join(t.TempDir(), "tenantbackup.log")
+
+	entries := []LogEntry{
+		{Timestamp: time.Now().UTC(), Operation: OpBackupDB, TenantID: "a", Source: "/x/dump.pgcustom", Result: "ok"},
+		{Timestamp: time.Now().UTC(), Operation: OpRestoreDB, TenantID: "a", Source: "/x/dump.pgcustom", Target: "a_restored", Result: "ok"},
+	}
+	for _, e := range entries {
+		if err := AppendLog(logPath, e); err != nil {
+			t.Fatalf("appendlog: %v", err)
+		}
+	}
+
+	got, err := ReadLog(logPath)
+	if err != nil {
+		t.Fatalf("readlog: %v", err)
+	}
+	if len(got) != 2 {
+		t.Fatalf("erwartet 2 eintraege, habe %d", len(got))
+	}
+	if got[0].Operation != OpBackupDB || got[1].Operation != OpRestoreDB {
+		t.Fatalf("unerwartete reihenfolge/operationen: %+v", got)
+	}
+	if got[0].TenantID != "a" || got[1].Target != "a_restored" {
+		t.Fatalf("eintraege unvollstaendig: %+v", got)
+	}
+}

archive/internal/tenantbackup/tenantbackup.go

@@ -0,0 +1,155 @@
+// Package tenantbackup implementiert BAK-04: Sicherung und
+// Wiederherstellung der Daten EINES einzelnen Mandanten, ohne andere
+// Mandanten zu berühren.
+//
+// BEWUSST NICHT auf BAK-01/BAK-03 aufgesetzt: pg_basebackup (BAK-01)
+// sichert den GESAMTEN Postgres-Cluster — bei Modell C (TEN-01, eine
+// physisch isolierte Datenbank je Mandant) liegen ALLE Mandanten-
+// Datenbanken in genau diesem einen Cluster, ein Restore der
+// Cluster-Sicherung würde also zwangsläufig ALLE Mandanten gleichzeitig
+// überschreiben — das genaue Gegenteil von Mandanten-Isolation. BAK-04
+// braucht daher ein DATENBANK-SCHARFES logisches Verfahren (pg_dump/
+// pg_restore für genau EINE Datenbank), keine physische
+// Cluster-Sicherung. Objekt-Storage ist bereits von Haus aus pro
+// Mandant getrennt (eigener Bucket/Pfad-Root, STORAGE-KONZEPT.md
+// Abschnitt 3) — dort genügt ein restic-Repository je Mandanten-Root
+// (objectbackup-Paket direkt wiederverwendbar, ein Aufruf pro
+// Mandanten-Verzeichnis).
+package tenantbackup
+
+import (
+	"context"
+	"fmt"
+	"os"
+	"os/exec"
+	"path/filepath"
+)
+
+// Config enthält die Verbindungsdaten — ausschließlich über
+// Umgebungsvariablen befüllt (siehe Ticket-Abschluss-Regel).
+type Config struct {
+	Host          string
+	Port          string
+	User          string
+	Password      string
+	BackupDir     string
+	PgDumpPath    string // Default "pg_dump"
+	PgRestorePath string // Default "pg_restore"
+	PsqlPath      string // Default "psql"
+}
+
+func (c Config) dumpBinary() string {
+	if c.PgDumpPath != "" {
+		return c.PgDumpPath
+	}
+	return "pg_dump"
+}
+
+func (c Config) restoreBinary() string {
+	if c.PgRestorePath != "" {
+		return c.PgRestorePath
+	}
+	return "pg_restore"
+}
+
+func (c Config) psqlBinary() string {
+	if c.PsqlPath != "" {
+		return c.PsqlPath
+	}
+	return "psql"
+}
+
+const DumpFile = "dump.pgcustom"
+
+// Backup erstellt eine logische Sicherung GENAU EINER Mandanten-
+// Datenbank (Custom-Format, `pg_dump -Fc`) — enthält strukturell
+// ausschließlich Daten dieser einen Datenbank, andere Mandanten-
+// Datenbanken werden nie verbunden oder gelesen (Akzeptanzkriterium 1).
+func Backup(ctx context.Context, cfg Config, tenantDB, generationID string) (dumpPath string, err error) {
+	dir := filepath.Join(cfg.BackupDir, tenantDB, generationID)
+	if err := os.MkdirAll(dir, 0o750); err != nil {
+		return "", fmt.Errorf("tenantbackup: sicherungsverzeichnis anlegen: %w", err)
+	}
+	dumpPath = filepath.Join(dir, DumpFile)
+
+	args := []string{
+		"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User,
+		"-Fc", "-f", dumpPath, "--no-password", tenantDB,
+	}
+	cmd := exec.CommandContext(ctx, cfg.dumpBinary(), args...)
+	cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+	output, err := cmd.CombinedOutput()
+	if err != nil {
+		return "", fmt.Errorf("tenantbackup: %s fehlgeschlagen: %w (ausgabe: %s)", cfg.dumpBinary(), err, string(output))
+	}
+	return dumpPath, nil
+}
+
+// Verify prüft, dass dumpPath ein vollständig lesbares pg_dump-Custom-
+// Format-Archiv ist — liest die GESAMTE Inhaltsliste (`pg_restore -l`),
+// nicht nur den Dateikopf, damit ein abgeschnittenes oder beschädigtes
+// Archiv zuverlässig auffällt.
+func Verify(ctx context.Context, cfg Config, dumpPath string) error {
+	cmd := exec.CommandContext(ctx, cfg.restoreBinary(), "-l", dumpPath)
+	output, err := cmd.CombinedOutput()
+	if err != nil {
+		return fmt.Errorf("tenantbackup: sicherung beschädigt oder unvollständig: %w (ausgabe: %s)", err, string(output))
+	}
+	if len(output) == 0 {
+		return fmt.Errorf("tenantbackup: sicherung enthält keine inhaltsliste")
+	}
+	return nil
+}
+
+// Restore stellt dumpPath in targetDB wieder her — targetDB MUSS bereits
+// existieren und leer sein (angelegt vom Aufrufer über CreateEmptyDatabase),
+// niemals die Quelldatenbank selbst oder eine andere Mandanten-Datenbank
+// (Akzeptanzkriterium 2: Wiederherstellung verändert keine Daten anderer
+// Mandanten — strukturell garantiert, weil pg_restore ausschließlich mit
+// der EINEN übergebenen Zielverbindung spricht).
+func Restore(ctx context.Context, cfg Config, dumpPath, targetDB string) error {
+	args := []string{
+		"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User,
+		// --no-owner: die Zieldatenbank ist eine frische, isolierte
+		// Testumgebung (CreateEmptyDatabase) - der urspruengliche
+		// Tenant-Eigentuemer existiert dort nicht zwangslaeufig mit
+		// gleichen Rechten, und Eigentuemerschaft ist fuer den
+		// Restore-Nachweis irrelevant (Standardpraxis beim Restore in
+		// eine andere Umgebung).
+		"--no-owner",
+		"-d", targetDB, "--no-password", dumpPath,
+	}
+	cmd := exec.CommandContext(ctx, cfg.restoreBinary(), args...)
+	cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+	output, err := cmd.CombinedOutput()
+	if err != nil {
+		return fmt.Errorf("tenantbackup: %s fehlgeschlagen: %w (ausgabe: %s)", cfg.restoreBinary(), err, string(output))
+	}
+	return nil
+}
+
+// CreateEmptyDatabase legt targetDB frisch und leer an — schlägt fehl,
+// wenn targetDB bereits existiert (Isolation: ein Restore darf niemals
+// stillschweigend eine bestehende Datenbank – eigene oder fremde –
+// überschreiben, dieselbe "kein stiller Overwrite"-Disziplin wie BAK-03s
+// internal/restore).
+func CreateEmptyDatabase(ctx context.Context, cfg Config, targetDB string) error {
+	cmd := exec.CommandContext(ctx, cfg.psqlBinary(),
+		"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User, "-d", "postgres", "--no-password",
+		"-c", fmt.Sprintf("CREATE DATABASE %s", quoteIdent(targetDB)))
+	cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+	output, err := cmd.CombinedOutput()
+	if err != nil {
+		return fmt.Errorf("tenantbackup: zieldatenbank %q anlegen fehlgeschlagen (existiert sie bereits?): %w (ausgabe: %s)", targetDB, err, string(output))
+	}
+	return nil
+}
+
+// quoteIdent ist eine MINIMALE Absicherung für Datenbanknamen, die
+// ausschließlich aus dem eigenen Tenant-Registry-Kontext stammen (nie aus
+// unmittelbarer Benutzereingabe an dieser Stelle) — auf doppelte
+// Anführungszeichen beschränkt, da Postgres-Identifier keine
+// eingebetteten NUL-Bytes zulassen.
+func quoteIdent(name string) string {
+	return `"` + name + `"`
+}

archive/internal/tenantbackup/tenantbackup_test.go

@@ -0,0 +1,203 @@
+package tenantbackup
+
+import (
+	"context"
+	"os"
+	"os/exec"
+	"testing"
+	"time"
+)
+
+// requireTestConfig braucht eine EIGENE Rolle mit CREATEDB-Recht
+// (TEST_TENANTBACKUP_PG_USER), NICHT BAK-01/BAK-03s TEST_BACKUP_PG_USER
+// (nexarch_backup) - jene Rolle hat bewusst nur REPLICATION, kein
+// CREATEDB (Prinzip geringster Rechte, siehe BAK-01). BAK-04 braucht
+// stattdessen CREATEDB, um isolierte Ziel-Datenbanken anzulegen -
+// bekommt daher eine eigene, separat scharf gestellte Rolle.
+func requireTestConfig(t *testing.T) Config {
+	t.Helper()
+	user := os.Getenv("TEST_TENANTBACKUP_PG_USER")
+	if user == "" {
+		t.Skip("TEST_TENANTBACKUP_PG_USER nicht gesetzt, Integrationstest uebersprungen (braucht echte Postgres-Rolle mit CREATEDB)")
+	}
+	if _, err := exec.LookPath("pg_dump"); err != nil {
+		t.Skip("pg_dump nicht installiert, Integrationstest uebersprungen")
+	}
+	return Config{
+		Host:      envOr("TEST_TENANTBACKUP_PG_HOST", "localhost"),
+		Port:      envOr("TEST_TENANTBACKUP_PG_PORT", "5432"),
+		User:      user,
+		Password:  os.Getenv("TEST_TENANTBACKUP_PG_PASSWORD"),
+		BackupDir: t.TempDir(),
+	}
+}
+
+func envOr(key, fallback string) string {
+	if v := os.Getenv(key); v != "" {
+		return v
+	}
+	return fallback
+}
+
+// createMarkerDB legt eine frische Testdatenbank mit genau EINER
+// Markierungszeile an (Kennzeichen für "das ist eindeutig Tenant X's
+// Datensatz") - real ueber psql, kein Mock.
+func createMarkerDB(t *testing.T, cfg Config, dbName, marker string) {
+	t.Helper()
+	ctx := context.Background()
+	run := func(args ...string) {
+		t.Helper()
+		cmd := exec.CommandContext(ctx, cfg.psqlBinary(), args...)
+		cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+		if out, err := cmd.CombinedOutput(); err != nil {
+			t.Fatalf("psql %v: %v (ausgabe: %s)", args, err, out)
+		}
+	}
+	base := []string{"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User, "--no-password"}
+	run(append(append([]string{}, base...), "-d", "postgres", "-c", "DROP DATABASE IF EXISTS "+quoteIdent(dbName))...)
+	run(append(append([]string{}, base...), "-d", "postgres", "-c", "CREATE DATABASE "+quoteIdent(dbName))...)
+	run(append(append([]string{}, base...), "-d", dbName, "-c",
+		"CREATE TABLE marker (value TEXT); INSERT INTO marker VALUES ('"+marker+"')")...)
+	t.Cleanup(func() {
+		run(append(append([]string{}, base...), "-d", "postgres", "-c", "DROP DATABASE IF EXISTS "+quoteIdent(dbName))...)
+	})
+}
+
+func markerValue(t *testing.T, cfg Config, dbName string) string {
+	t.Helper()
+	cmd := exec.CommandContext(context.Background(), cfg.psqlBinary(),
+		"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User, "-d", dbName, "--no-password",
+		"-tAc", "SELECT value FROM marker")
+	cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+	out, err := cmd.CombinedOutput()
+	if err != nil {
+		t.Fatalf("markerwert lesen: %v (ausgabe: %s)", err, out)
+	}
+	return trimNL(string(out))
+}
+
+func trimNL(s string) string {
+	for len(s) > 0 && (s[len(s)-1] == '\n' || s[len(s)-1] == '\r') {
+		s = s[:len(s)-1]
+	}
+	return s
+}
+
+func databaseExists(t *testing.T, cfg Config, dbName string) bool {
+	t.Helper()
+	cmd := exec.CommandContext(context.Background(), cfg.psqlBinary(),
+		"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User, "-d", "postgres", "--no-password",
+		"-tAc", "SELECT 1 FROM pg_database WHERE datname = '"+dbName+"'")
+	cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+	out, _ := cmd.CombinedOutput()
+	return trimNL(string(out)) == "1"
+}
+
+// TestBackupRestore_RecoversExactTenantData ist Pruefung 1 (angepasst
+// auf Akzeptanzkriterium 1): eine Sicherung von Tenant A, wiederhergestellt
+// in eine isolierte Zieldatenbank, enthaelt real Tenant As Datensatz.
+func TestBackupRestore_RecoversExactTenantData(t *testing.T) {
+	cfg := requireTestConfig(t)
+	ctx := context.Background()
+
+	tenantA := "tenantbackup_test_a"
+	createMarkerDB(t, cfg, tenantA, "gehoert-zu-tenant-a")
+
+	dumpPath, err := Backup(ctx, cfg, tenantA, time.Now().UTC().Format("20060102T150405Z"))
+	if err != nil {
+		t.Fatalf("backup: %v", err)
+	}
+	if err := Verify(ctx, cfg, dumpPath); err != nil {
+		t.Fatalf("verify: %v", err)
+	}
+
+	target := "tenantbackup_test_a_restored"
+	if databaseExists(t, cfg, target) {
+		t.Fatalf("zieldatenbank %q existiert bereits vor dem test", target)
+	}
+	if err := CreateEmptyDatabase(ctx, cfg, target); err != nil {
+		t.Fatalf("createemptydatabase: %v", err)
+	}
+	t.Cleanup(func() {
+		cmd := exec.Command(cfg.psqlBinary(), "-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User, "-d", "postgres", "--no-password",
+			"-c", "DROP DATABASE IF EXISTS "+quoteIdent(target))
+		cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+		_ = cmd.Run()
+	})
+
+	if err := Restore(ctx, cfg, dumpPath, target); err != nil {
+		t.Fatalf("restore: %v", err)
+	}
+
+	got := markerValue(t, cfg, target)
+	if got != "gehoert-zu-tenant-a" {
+		t.Fatalf("markerwert in wiederhergestellter datenbank = %q, want %q", got, "gehoert-zu-tenant-a")
+	}
+}
+
+// TestRestore_DoesNotAffectOtherTenant ist Pruefung 2: Wiederherstellung
+// von Tenant A veraendert Tenant B nicht - reales zweites Tenant-DB,
+// Markerwert vor UND nach dem Restore geprueft.
+func TestRestore_DoesNotAffectOtherTenant(t *testing.T) {
+	cfg := requireTestConfig(t)
+	ctx := context.Background()
+
+	tenantA := "tenantbackup_test_iso_a"
+	tenantB := "tenantbackup_test_iso_b"
+	createMarkerDB(t, cfg, tenantA, "wert-a")
+	createMarkerDB(t, cfg, tenantB, "wert-b-unveraendert")
+
+	dumpPath, err := Backup(ctx, cfg, tenantA, time.Now().UTC().Format("20060102T150405Z"))
+	if err != nil {
+		t.Fatalf("backup: %v", err)
+	}
+
+	target := "tenantbackup_test_iso_a_restored"
+	if err := CreateEmptyDatabase(ctx, cfg, target); err != nil {
+		t.Fatalf("createemptydatabase: %v", err)
+	}
+	t.Cleanup(func() {
+		cmd := exec.Command(cfg.psqlBinary(), "-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User, "-d", "postgres", "--no-password",
+			"-c", "DROP DATABASE IF EXISTS "+quoteIdent(target))
+		cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
+		_ = cmd.Run()
+	})
+	if err := Restore(ctx, cfg, dumpPath, target); err != nil {
+		t.Fatalf("restore: %v", err)
+	}
+
+	// Tenant B, der nie an diesem Vorgang beteiligt war, muss unveraendert sein.
+	gotB := markerValue(t, cfg, tenantB)
+	if gotB != "wert-b-unveraendert" {
+		t.Fatalf("tenant b wurde veraendert: %q, want %q", gotB, "wert-b-unveraendert")
+	}
+	// Und Tenant Bs Datenbank existiert weiterhin unter ihrem eigenen Namen
+	// (kein versehentliches Ueberschreiben/Umbenennen).
+	if !databaseExists(t, cfg, tenantB) {
+		t.Fatal("tenant-b-datenbank fehlt nach restore von tenant a")
+	}
+}
+
+// TestVerify_DetectsCorruptedDump ist Nachweis der Vollstaendigkeitspruefung.
+func TestVerify_DetectsCorruptedDump(t *testing.T) {
+	cfg := requireTestConfig(t)
+	ctx := context.Background()
+
+	tenantA := "tenantbackup_test_corrupt"
+	createMarkerDB(t, cfg, tenantA, "wert")
+
+	dumpPath, err := Backup(ctx, cfg, tenantA, time.Now().UTC().Format("20060102T150405Z"))
+	if err != nil {
+		t.Fatalf("backup: %v", err)
+	}
+	if err := Verify(ctx, cfg, dumpPath); err != nil {
+		t.Fatalf("verify (unbeschaedigt) haette erfolgreich sein muessen: %v", err)
+	}
+
+	if err := os.WriteFile(dumpPath, []byte("kein gueltiges pg_dump-custom-archiv"), 0o600); err != nil {
+		t.Fatal(err)
+	}
+	if err := Verify(ctx, cfg, dumpPath); err == nil {
+		t.Fatal("verify haette die beschaedigte sicherung erkennen muessen")
+	}
+}

archive/migrations/0002_retention.down.sql

@@ -0,0 +1,2 @@
+DROP TABLE IF EXISTS retention_class_assignments;
+DROP TABLE IF EXISTS retention_objects;

archive/migrations/0002_retention.up.sql

@@ -0,0 +1,26 @@
+-- RET-01: generisches Retention-Objektmodell. Modulübergreifend über
+-- Adapter (object_type/object_reference als reine Textfelder, KEINE
+-- Fremdschlüssel auf DMS-/Mail-Tabellen) — Archive kennt die
+-- Fachobjekte anderer Module nicht, nur deren Typ+Referenz.
+CREATE TABLE IF NOT EXISTS retention_objects (
+    id               UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    object_type      TEXT NOT NULL,
+    object_reference TEXT NOT NULL,
+    status           TEXT NOT NULL DEFAULT 'active' CHECK (status IN ('active', 'expired', 'deleted')),
+    created_at       TIMESTAMPTZ NOT NULL DEFAULT now(),
+    UNIQUE (object_type, object_reference)
+);
+
+-- Historisiert: JEDE Zuordnung ist eine eigene, unveränderliche Zeile
+-- (nie UPDATE) — "aktuelle" Aufbewahrungsklasse ist die mit dem
+-- jüngsten assigned_at je retention_object_id. So bleibt nachvollziehbar,
+-- wann sich die Klasse eines Objekts geändert hat (Akzeptanzkriterium 2).
+CREATE TABLE IF NOT EXISTS retention_class_assignments (
+    id                   UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    retention_object_id  UUID NOT NULL REFERENCES retention_objects(id) ON DELETE CASCADE,
+    retention_class      TEXT NOT NULL,
+    assigned_at          TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+CREATE INDEX IF NOT EXISTS idx_retention_class_assignments_object
+    ON retention_class_assignments (retention_object_id, assigned_at DESC);

archive/migrations/0003_module_registrations.down.sql

@@ -0,0 +1 @@
+DROP TABLE IF EXISTS module_registrations;

archive/migrations/0003_module_registrations.up.sql

@@ -0,0 +1,15 @@
+-- RET-05: Modul-Adapter-Schnittstelle. Ein Modul (DMS, Mail, ...)
+-- registriert je Objekttyp EINE Rueckruf-Adresse fuer Loeschbestaetigung
+-- - Archive kennt danach nur noch module_name/object_type/callback_url,
+-- keine Modul-Interna. Mandantenfaehig durch Modell C (physisch
+-- isolierte Tenant-DB, TEN-01) - kein tenant_id-Feld noetig, dieselbe
+-- Begruendung wie RET-01s retention_objects.
+CREATE TABLE IF NOT EXISTS module_registrations (
+    id               UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    module_name      TEXT NOT NULL,
+    object_type      TEXT NOT NULL,
+    retention_class  TEXT NOT NULL,
+    callback_url     TEXT NOT NULL,
+    created_at       TIMESTAMPTZ NOT NULL DEFAULT now(),
+    UNIQUE (module_name, object_type)
+);

archive/migrations/0004_retention_class_rules.down.sql

@@ -0,0 +1 @@
+DROP TABLE IF EXISTS retention_class_rules;

archive/migrations/0004_retention_class_rules.up.sql

@@ -0,0 +1,9 @@
+-- RET-02: Fristenmodell je Aufbewahrungsklasse. duration ist ein
+-- natives Postgres-INTERVAL statt eigener Tage-/Monatszaehlung, damit
+-- Kalenderfaelle (Schaltjahr, Monatsende) exakt Postgres' eigene,
+-- bewaehrte Intervall-Arithmetik nutzen statt eine eigene, potenziell
+-- fehlerhafte Nachbildung.
+CREATE TABLE IF NOT EXISTS retention_class_rules (
+    retention_class TEXT PRIMARY KEY,
+    duration        INTERVAL NOT NULL
+);

archive/migrations/0005_retention_class_rules_active.down.sql

@@ -0,0 +1 @@
+ALTER TABLE retention_class_rules DROP COLUMN IF EXISTS active;

archive/migrations/0005_retention_class_rules_active.up.sql

@@ -0,0 +1,4 @@
+-- RET-06-API: Aufbewahrungsklassen lassen sich deaktivieren, ohne ihre
+-- Historie (bereits erfolgte Zuordnungen/Berechnungen) zu verlieren -
+-- kein DELETE, nur ein Sichtbarkeits-/Anwendbarkeits-Flag.
+ALTER TABLE retention_class_rules ADD COLUMN IF NOT EXISTS active BOOLEAN NOT NULL DEFAULT true;

archive/migrations/0006_retention_notify.down.sql

@@ -0,0 +1,3 @@
+DROP TABLE IF EXISTS retention_notifications;
+ALTER TABLE retention_class_rules DROP COLUMN IF EXISTS notify_lead_days;
+ALTER TABLE retention_class_rules DROP COLUMN IF EXISTS notify_enabled;

archive/migrations/0006_retention_notify.up.sql

@@ -0,0 +1,11 @@
+-- RET-07: Fristablauf-Benachrichtigungen. Zwei neue Spalten je
+-- Aufbewahrungsklasse (Vorlauf, Ein/Aus-Schalter — Akzeptanzkriterium 3)
+-- und eine Dedupe-Tabelle (Akzeptanzkriterium 2: kein Mehrfachversand,
+-- auch nicht nach Job-Neustart, da Postgres-persistent statt In-Memory).
+ALTER TABLE retention_class_rules ADD COLUMN IF NOT EXISTS notify_lead_days INT NOT NULL DEFAULT 7;
+ALTER TABLE retention_class_rules ADD COLUMN IF NOT EXISTS notify_enabled BOOLEAN NOT NULL DEFAULT true;
+
+CREATE TABLE IF NOT EXISTS retention_notifications (
+    retention_object_id UUID PRIMARY KEY REFERENCES retention_objects(id) ON DELETE CASCADE,
+    notified_at          TIMESTAMPTZ NOT NULL DEFAULT now()
+);

deploy/systemd/nexarch-archive-restoretest-metrics.service.tmpl

@@ -0,0 +1,14 @@
+[Unit]
+Description=NEXARCH Archive - /metrics-Export fuer BAK-06 (dauerhaft, Pull-Modell fuer OPS-03)
+After=network.target
+
+[Service]
+Type=simple
+User=nexarch
+EnvironmentFile=/etc/nexarch/archive-restoretest.env
+ExecStart=__INSTALL_DIR__/bin/restoretest-metrics
+Restart=on-failure
+StandardOutput=journal
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-archive-restoretest.service.tmpl

@@ -0,0 +1,11 @@
+[Unit]
+Description=NEXARCH Archive - Restore-Testverfahren (BAK-06)
+After=network.target postgresql.service
+
+[Service]
+Type=oneshot
+User=nexarch
+Environment=PATH=/usr/bin:/bin:/usr/lib/postgresql/17/bin
+EnvironmentFile=/etc/nexarch/archive-restoretest.env
+ExecStart=__INSTALL_DIR__/bin/restoretest-cli
+StandardOutput=journal

deploy/systemd/nexarch-archive-restoretest.timer.tmpl

@@ -0,0 +1,9 @@
+[Unit]
+Description=Zeitplan fuer NEXARCH Archive Restore-Testverfahren (BAK-06)
+
+[Timer]
+OnCalendar=Sun *-*-* 07:00:00
+Persistent=true
+
+[Install]
+WantedBy=timers.target

deploy/systemd/nexarch-archive-retention-api.service.tmpl

@@ -0,0 +1,14 @@
+[Unit]
+Description=NEXARCH Archive - Aufbewahrungsfristen-Konfigurations-API (RET-06-API)
+After=network.target postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+EnvironmentFile=/etc/nexarch/archive-retention-api.env
+ExecStart=__INSTALL_DIR__/bin/retention-api
+Restart=on-failure
+StandardOutput=journal
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-archive-retention-notify.service.tmpl

@@ -0,0 +1,10 @@
+[Unit]
+Description=NEXARCH Archive - Fristablauf-Benachrichtigungen (RET-07)
+After=network.target postgresql.service
+
+[Service]
+Type=oneshot
+User=nexarch
+EnvironmentFile=/etc/nexarch/archive-retention-notify.env
+ExecStart=__INSTALL_DIR__/bin/retention-notify-job
+StandardOutput=journal

deploy/systemd/nexarch-archive-retention-notify.timer.tmpl

@@ -0,0 +1,9 @@
+[Unit]
+Description=Zeitplan fuer NEXARCH Archive Fristablauf-Benachrichtigungen (RET-07)
+
+[Timer]
+OnCalendar=*-*-* 07:00:00
+Persistent=true
+
+[Install]
+WantedBy=timers.target

deploy/systemd/nexarch-archive-tenantbackup.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH Archive - Tenant-Backup einzelner Mandant (BAK-04)
+After=network.target postgresql.service
+
+[Service]
+Type=oneshot
+User=nexarch
+Environment=PATH=/usr/bin:/bin:/usr/lib/postgresql/17/bin
+EnvironmentFile=/etc/nexarch/archive-tenantbackup.env
+# NEXARCH_TENANTBACKUP_TENANT_DB und NEXARCH_TENANTBACKUP_STORAGE_ROOT
+# muessen je Mandant separat gesetzt werden (z.B. ueber eine
+# systemd-Template-Unit @<mandant>.service, sobald TEN-01s
+# Tenant-Registry real abfragbar ist) - hier bewusst als Platzhalter
+# belassen, kein automatisches "alle Mandanten"-Enumerieren ohne echte
+# Registry-Anbindung.
+ExecStart=__INSTALL_DIR__/bin/tenantbackup-cli backup ${NEXARCH_TENANTBACKUP_TENANT_DB} ${NEXARCH_TENANTBACKUP_STORAGE_ROOT}
+StandardOutput=journal

deploy/systemd/nexarch-archive-tenantbackup.timer.tmpl

@@ -0,0 +1,9 @@
+[Unit]
+Description=Zeitplan fuer NEXARCH Archive Tenant-Backup (BAK-04) - unabhaengig vom Gesamt-Backup
+
+[Timer]
+OnCalendar=*-*-* 02:00:00
+Persistent=true
+
+[Install]
+WantedBy=timers.target

web/retention-admin/app/classes/page.tsx

@@ -0,0 +1,136 @@
+"use client";
+
+import { useEffect, useState, type ChangeEvent, type FormEvent } from "react";
+import { Table, TextField, useToast, type TableColumn } from "@nexarch/shl";
+import {
+  ApiError,
+  ClassRule,
+  ForbiddenError,
+  configureClassRule,
+  deactivateClassRule,
+  fetchClassRules,
+} from "../../lib/api";
+
+export default function ClassesPage() {
+  const { push } = useToast();
+  const [rules, setRules] = useState<ClassRule[] | null>(null);
+  const [forbidden, setForbidden] = useState(false);
+  const [loadError, setLoadError] = useState<string | null>(null);
+  const [newClass, setNewClass] = useState("");
+  const [newDuration, setNewDuration] = useState("");
+  const [saving, setSaving] = useState(false);
+
+  function load() {
+    fetchClassRules()
+      .then((r) => {
+        setRules(r);
+        setForbidden(false);
+      })
+      .catch((err) => {
+        if (err instanceof ForbiddenError) {
+          setForbidden(true);
+        } else {
+          setLoadError(err instanceof Error ? err.message : "Aufbewahrungsklassen konnten nicht geladen werden.");
+        }
+      });
+  }
+
+  useEffect(load, []);
+
+  // Akzeptanzkriterium 3: nicht berechtigte Rolle sieht explizit den
+  // Zugriff-verweigert-Zustand, keine leere Tabelle ohne Erklaerung.
+  if (forbidden) {
+    return (
+      <main style={{ maxWidth: 720, margin: "40px auto", padding: "0 16px" }}>
+        <p role="alert">Zugriff verweigert: Ihre Rolle ist nicht zur Fristenverwaltung berechtigt.</p>
+      </main>
+    );
+  }
+  if (loadError) {
+    return (
+      <main style={{ maxWidth: 720, margin: "40px auto", padding: "0 16px" }}>
+        <p role="alert">{loadError}</p>
+      </main>
+    );
+  }
+
+  async function onCreateOrChange(e: FormEvent) {
+    e.preventDefault();
+    setSaving(true);
+    try {
+      // Akzeptanzkriterium 1: gleicher Endpunkt legt an ODER aendert
+      // (UPSERT im Backend, retentionengine.ConfigureClassRule).
+      await configureClassRule(newClass, newDuration);
+      push(`Aufbewahrungsklasse "${newClass}" gespeichert.`, "success");
+      setNewClass("");
+      setNewDuration("");
+      load();
+    } catch (err) {
+      if (err instanceof ForbiddenError) {
+        setForbidden(true);
+      } else {
+        push(err instanceof ApiError ? err.message : "Speichern fehlgeschlagen.", "danger");
+      }
+    } finally {
+      setSaving(false);
+    }
+  }
+
+  async function onDeactivate(retentionClass: string) {
+    try {
+      await deactivateClassRule(retentionClass);
+      push(`Aufbewahrungsklasse "${retentionClass}" deaktiviert.`, "success");
+      load();
+    } catch (err) {
+      if (err instanceof ForbiddenError) {
+        setForbidden(true);
+      } else {
+        push(err instanceof ApiError ? err.message : "Deaktivieren fehlgeschlagen.", "danger");
+      }
+    }
+  }
+
+  const columns: TableColumn<ClassRule>[] = [
+    { key: "class", header: "Aufbewahrungsklasse", render: (r) => r.RetentionClass },
+    { key: "duration", header: "Frist", render: (r) => r.Duration },
+    { key: "active", header: "Status", render: (r) => (r.Active ? "aktiv" : "deaktiviert") },
+    {
+      key: "actions",
+      header: "Aktion",
+      render: (r) =>
+        r.Active ? (
+          <button type="button" onClick={() => onDeactivate(r.RetentionClass)}>
+            Deaktivieren
+          </button>
+        ) : null,
+    },
+  ];
+
+  return (
+    <main style={{ maxWidth: 720, margin: "40px auto", padding: "0 16px" }}>
+      <h1>Aufbewahrungsfristen-Konfiguration</h1>
+
+      <form onSubmit={onCreateOrChange} style={{ marginBottom: 24 }}>
+        <TextField
+          label="Aufbewahrungsklasse"
+          value={newClass}
+          onChange={(e: ChangeEvent<HTMLInputElement>) => setNewClass(e.target.value)}
+          required
+        />
+        <TextField
+          label="Frist (z. B. 5 years)"
+          value={newDuration}
+          onChange={(e: ChangeEvent<HTMLInputElement>) => setNewDuration(e.target.value)}
+          required
+        />
+        <button type="submit" disabled={saving}>
+          Speichern
+        </button>
+      </form>
+
+      {rules && (
+        <Table columns={columns} rows={rules} rowKey={(r) => r.RetentionClass} caption="Konfigurierte Aufbewahrungsklassen" />
+      )}
+    </main>
+  );
+}

web/retention-admin/app/layout.tsx

@@ -0,0 +1,30 @@
+import { ThemeProvider, I18nProvider, ToastProvider, typography } from "@nexarch/shl";
+
+export const metadata = {
+  title: "NEXARCH Aufbewahrungsfristen",
+};
+
+export default function RootLayout({
+  children,
+}: {
+  children: React.ReactNode;
+}) {
+  return (
+    <html lang="de">
+      <body
+        style={{
+          fontFamily: typography.fontFamily,
+          margin: 0,
+          background: "var(--shl-color-background, #ffffff)",
+          color: "var(--shl-color-text-primary, #14181f)",
+        }}
+      >
+        <ThemeProvider>
+          <I18nProvider initialLocale="de">
+            <ToastProvider>{children}</ToastProvider>
+          </I18nProvider>
+        </ThemeProvider>
+      </body>
+    </html>
+  );
+}

web/retention-admin/app/page.tsx

@@ -0,0 +1,5 @@
+import { redirect } from "next/navigation";
+
+export default function IndexPage() {
+  redirect("/classes");
+}

web/retention-admin/app/preview/page.tsx

@@ -0,0 +1,58 @@
+"use client";
+
+import { useEffect, useState } from "react";
+import { Table, type TableColumn } from "@nexarch/shl";
+import { ExpiringObject, ForbiddenError, fetchExpiringPreview } from "../../lib/api";
+
+// Akzeptanzkriterium 2: Vorschauliste bald ablaufender Objekte (naechste 30
+// Tage) - ruft dieselbe RET-06-API /retention-classes/preview auf, die
+// intern dieselbe Funktion wie der periodische Job nutzt (RET-02), keine
+// eigene Berechnung im Frontend.
+export default function PreviewPage() {
+  const [objects, setObjects] = useState<ExpiringObject[] | null>(null);
+  const [forbidden, setForbidden] = useState(false);
+  const [loadError, setLoadError] = useState<string | null>(null);
+
+  useEffect(() => {
+    fetchExpiringPreview()
+      .then(setObjects)
+      .catch((err) => {
+        if (err instanceof ForbiddenError) {
+          setForbidden(true);
+        } else {
+          setLoadError(err instanceof Error ? err.message : "Vorschauliste konnte nicht geladen werden.");
+        }
+      });
+  }, []);
+
+  if (forbidden) {
+    return (
+      <main style={{ maxWidth: 720, margin: "40px auto", padding: "0 16px" }}>
+        <p role="alert">Zugriff verweigert: Ihre Rolle ist nicht zur Fristenverwaltung berechtigt.</p>
+      </main>
+    );
+  }
+  if (loadError) {
+    return (
+      <main style={{ maxWidth: 720, margin: "40px auto", padding: "0 16px" }}>
+        <p role="alert">{loadError}</p>
+      </main>
+    );
+  }
+
+  const columns: TableColumn<ExpiringObject>[] = [
+    { key: "type", header: "Objekttyp", render: (o) => o.ObjectType },
+    { key: "ref", header: "Referenz", render: (o) => o.ObjectReference },
+    { key: "class", header: "Aufbewahrungsklasse", render: (o) => o.RetentionClass },
+    { key: "due", header: "Fällig am", render: (o) => o.DueDate },
+  ];
+
+  return (
+    <main style={{ maxWidth: 720, margin: "40px auto", padding: "0 16px" }}>
+      <h1>In den nächsten 30 Tagen ablaufende Objekte</h1>
+      {objects && (
+        <Table columns={columns} rows={objects} rowKey={(o) => o.RetentionObjectID} caption="Bald ablaufende Objekte" />
+      )}
+    </main>
+  );
+}

web/retention-admin/lib/api.test.ts

@@ -0,0 +1,51 @@
+import { afterEach, beforeEach, describe, expect, it, vi } from "vitest";
+import { ForbiddenError, fetchClassRules, configureClassRule } from "./api";
+
+const ORIGINAL_ENV = process.env;
+
+beforeEach(() => {
+  process.env = { ...ORIGINAL_ENV, NEXT_PUBLIC_RETENTION_API_URL: "http://backend.test" };
+});
+
+afterEach(() => {
+  process.env = ORIGINAL_ENV;
+  vi.restoreAllMocks();
+});
+
+// Akzeptanzkriterium 3 ("nur berechtigten Rollen zugaenglich"): der
+// Negativfall MUSS explizit gepruft werden, nicht nur der Erfolgsfall -
+// Frontend wirft ForbiddenError, wenn RET-06-API (real gegen RBAC-06,
+// siehe RET-08) mit 403 antwortet.
+describe("api client - 403-Nachweis (keine berechtigte Rolle)", () => {
+  it("fetchClassRules wirft ForbiddenError bei 403-Antwort", async () => {
+    vi.stubGlobal(
+      "fetch",
+      vi.fn().mockResolvedValue(new Response(null, { status: 403 }))
+    );
+
+    await expect(fetchClassRules()).rejects.toBeInstanceOf(ForbiddenError);
+  });
+
+  it("configureClassRule wirft ForbiddenError bei 403-Antwort", async () => {
+    vi.stubGlobal(
+      "fetch",
+      vi.fn().mockResolvedValue(new Response(null, { status: 403 }))
+    );
+
+    await expect(configureClassRule("klasse-x", "1 year")).rejects.toBeInstanceOf(ForbiddenError);
+  });
+});
+
+describe("api client - erlaubte Rolle", () => {
+  it("fetchClassRules liefert die Liste bei 200-Antwort", async () => {
+    const rules = [{ RetentionClass: "klasse-a", Duration: "5 years", Active: true }];
+    vi.stubGlobal(
+      "fetch",
+      vi.fn().mockResolvedValue(
+        new Response(JSON.stringify(rules), { status: 200, headers: { "Content-Type": "application/json" } })
+      )
+    );
+
+    await expect(fetchClassRules()).resolves.toEqual(rules);
+  });
+});

web/retention-admin/lib/api.ts

@@ -0,0 +1,81 @@
+// Duenner Client fuer RET-06-API (archive/internal/retentionapi) — enthaelt
+// keine eigene Fristen-/RBAC-Logik, nur Datenabruf und -weitergabe. Der
+// RBAC-Check selbst passiert serverseitig ueber RET-08 (echter RBAC-06-Aufruf),
+// dieser Client meldet nur, ob der Zugriff erlaubt war (403) oder nicht.
+
+export class ForbiddenError extends Error {}
+export class ApiError extends Error {}
+
+function apiBase(): string {
+  const base = process.env.NEXT_PUBLIC_RETENTION_API_URL;
+  if (!base) {
+    throw new Error("NEXT_PUBLIC_RETENTION_API_URL ist nicht gesetzt (Umgebungsvariable erforderlich)");
+  }
+  return base;
+}
+
+// userRole wird bis zu einer zentralen Session-/Identitaets-Loesung im
+// Frontend als Umgebungsvariable/Query mitgegeben und als X-User-Role-Header
+// an RET-06-API durchgereicht, das ihn seinerseits gegen RBAC-06 prueft
+// (RET-08) - das Frontend trifft selbst KEINE Autorisierungsentscheidung.
+function userRoleHeader(): Record<string, string> {
+  const role = process.env.NEXT_PUBLIC_USER_ROLE;
+  return role ? { "X-User-Role": role } : {};
+}
+
+async function req<T>(path: string, init?: RequestInit): Promise<T> {
+  const res = await fetch(`${apiBase()}${path}`, {
+    ...init,
+    headers: {
+      ...userRoleHeader(),
+      ...(init?.body ? { "Content-Type": "application/json" } : {}),
+      ...init?.headers,
+    },
+  });
+  if (res.status === 403) {
+    throw new ForbiddenError("Zugriff verweigert: Ihre Rolle ist nicht zur Fristenverwaltung berechtigt.");
+  }
+  if (!res.ok) {
+    const body = await res.json().catch(() => ({}));
+    throw new ApiError(body.error ?? `Anfrage fehlgeschlagen (${res.status})`);
+  }
+  if (res.status === 200 && res.headers.get("content-length") === "0") {
+    return undefined as T;
+  }
+  return res.json().catch(() => undefined as T);
+}
+
+export interface ClassRule {
+  RetentionClass: string;
+  Duration: string;
+  Active: boolean;
+}
+
+export interface ExpiringObject {
+  RetentionObjectID: string;
+  ObjectType: string;
+  ObjectReference: string;
+  RetentionClass: string;
+  DueDate: string;
+}
+
+export function fetchClassRules(): Promise<ClassRule[]> {
+  return req("/retention-classes");
+}
+
+export function configureClassRule(retentionClass: string, duration: string): Promise<void> {
+  return req("/retention-classes", {
+    method: "POST",
+    body: JSON.stringify({ retention_class: retentionClass, duration }),
+  });
+}
+
+export function deactivateClassRule(retentionClass: string): Promise<void> {
+  return req(`/retention-classes/${encodeURIComponent(retentionClass)}/deactivate`, {
+    method: "POST",
+  });
+}
+
+export function fetchExpiringPreview(): Promise<ExpiringObject[]> {
+  return req("/retention-classes/preview");
+}

web/retention-admin/next.config.mjs

@@ -0,0 +1,5 @@
+/** @type {import('next').NextConfig} */
+const nextConfig = {
+  transpilePackages: ["@nexarch/shl"],
+};
+export default nextConfig;

web/retention-admin/package.json

@@ -0,0 +1,26 @@
+{
+  "name": "nexarch-retention-admin",
+  "private": true,
+  "scripts": {
+    "dev": "next dev",
+    "build": "next build",
+    "start": "next start",
+    "lint": "next lint",
+    "test": "vitest run"
+  },
+  "dependencies": {
+    "@nexarch/shl": "file:../shl",
+    "next": "14.2.35",
+    "react": "18.3.1",
+    "react-dom": "18.3.1"
+  },
+  "devDependencies": {
+    "@testing-library/react": "16.0.0",
+    "@types/node": "20.14.9",
+    "@types/react": "18.3.3",
+    "@types/react-dom": "18.3.0",
+    "jsdom": "24.1.0",
+    "typescript": "5.5.3",
+    "vitest": "2.0.5"
+  }
+}

web/retention-admin/tsconfig.json

@@ -0,0 +1,21 @@
+{
+  "compilerOptions": {
+    "target": "ES2017",
+    "lib": ["dom", "dom.iterable", "esnext"],
+    "allowJs": false,
+    "skipLibCheck": true,
+    "strict": true,
+    "noEmit": true,
+    "esModuleInterop": true,
+    "module": "esnext",
+    "moduleResolution": "bundler",
+    "resolveJsonModule": true,
+    "isolatedModules": true,
+    "jsx": "preserve",
+    "incremental": true,
+    "plugins": [{ "name": "next" }],
+    "paths": { "@/*": ["./*"] }
+  },
+  "include": ["next-env.d.ts", "**/*.ts", "**/*.tsx", ".next/types/**/*.ts"],
+  "exclude": ["node_modules"]
+}

web/retention-admin/vitest.config.ts

@@ -0,0 +1,7 @@
+import { defineConfig } from "vitest/config";
+
+export default defineConfig({
+  test: {
+    environment: "jsdom",
+  },
+});

web/shl/README.md

@@ -0,0 +1,45 @@
+# @nexarch/shl — UI-Shell & Design-System (Core SHL-01)
+
+Gemeinsames Paket für alle NEXARCH-Modul-Frontends (Core, DMS, Mail, Archive, Workflow, AI, Connect).
+Ein Modul-Frontend importiert ausschließlich über `index.ts`, kopiert keine Komponenten oder Tokens lokal.
+
+## Enthält
+
+- **Design-Tokens** (`tokens/tokens.ts`) — Farbe (Hell/Dunkel), Abstand, Typografie. Kontrastwerte gegen WCAG 2.1 AA geprüft (siehe `__tests__/tokens.test.ts`).
+- **Theming** (`theme/ThemeProvider.tsx`) — zentrale Hell/Dunkel-Umschaltung, respektiert `prefers-color-scheme`, persistiert in `localStorage`.
+- **i18n-Rahmen** (`i18n/i18n.tsx`) — Umschaltmechanismus Deutsch/Englisch. Modul-Frontends registrieren ihre fachlichen Textbausteine über `registerMessages()`, statt einen eigenen Mechanismus zu bauen.
+- **Basis-Komponenten** (`components/`) — `Shell` (Layout + Navigation), `Table`, `Dialog`, `TextField`/`SelectField`/`CheckboxField`, `Toast`. Alle mit WCAG-2.1-AA-Grundlage (Tastaturbedienung, ARIA-Attribute, Fokus-Management).
+
+## Verwendung in einem Modul-Frontend
+
+```tsx
+import { ThemeProvider, I18nProvider, ToastProvider, Shell } from "@nexarch/shl";
+
+export default function RootLayout({ children }: { children: React.ReactNode }) {
+  return (
+    <ThemeProvider>
+      <I18nProvider initialLocale="de">
+        <ToastProvider>
+          <Shell modules={[]} tenantLabel="Mandant XY">
+            {children}
+          </Shell>
+        </ToastProvider>
+      </I18nProvider>
+    </ThemeProvider>
+  );
+}
+```
+
+## Bekannter offener Punkt
+
+Die vier bereits gebauten Core-Frontends (`TEN-05`, `LIC-04`, `AUD-04`, `OPS-02`) sind vor diesem Paket entstanden und binden es noch nicht ein — Retrofit ist der nächste Schritt, siehe `nexarch-state.json`.
+
+## Tests
+
+Ausführung auf dem Test-Host (nicht lokal, siehe Projekt-Testinfrastruktur):
+
+```bash
+npm install
+npm test
+npm run typecheck
+```

web/shl/__tests__/Dialog.test.tsx

@@ -0,0 +1,38 @@
+// Prüfung: Tastaturbedienung der Basis-Komponenten funktioniert (SHL-01 Prüfung 2).
+import { describe, expect, it, vi } from "vitest";
+import { fireEvent, render, screen } from "@testing-library/react";
+import { Dialog } from "../components/Dialog";
+import { I18nProvider } from "../i18n/i18n";
+
+function renderDialog(onClose: () => void) {
+  return render(
+    <I18nProvider>
+      <Dialog open titleId="test-title" title="Test-Dialog" onClose={onClose}>
+        <button type="button">Erste Aktion</button>
+        <button type="button">Zweite Aktion</button>
+      </Dialog>
+    </I18nProvider>,
+  );
+}
+
+describe("Dialog: Tastaturbedienung", () => {
+  it("schließt sich bei ESC", () => {
+    const onClose = vi.fn();
+    renderDialog(onClose);
+    fireEvent.keyDown(document, { key: "Escape" });
+    expect(onClose).toHaveBeenCalledOnce();
+  });
+
+  it("setzt den Fokus beim Öffnen auf das erste fokussierbare Element", () => {
+    renderDialog(vi.fn());
+    const closeButton = screen.getByRole("button", { name: /schließen/i });
+    expect(document.activeElement).toBe(closeButton);
+  });
+
+  it("ist als modaler Dialog mit Titel-Referenz ausgezeichnet", () => {
+    renderDialog(vi.fn());
+    const dialog = screen.getByRole("dialog");
+    expect(dialog).toHaveAttribute("aria-modal", "true");
+    expect(dialog).toHaveAttribute("aria-labelledby", "test-title");
+  });
+});

web/shl/__tests__/tokens.test.ts

@@ -0,0 +1,39 @@
+// Prüfung: Kontrastwerte erfüllen mindestens AA (SHL-01 Prüfung 3 / Akzeptanzkriterium 4).
+import { describe, expect, it } from "vitest";
+import { colorTokens } from "../tokens/tokens";
+
+// WCAG-2.1-AA-Kontrastberechnung (relative Luminanz, sRGB) — keine externe Abhängigkeit nötig.
+function relLuminance(hex: string): number {
+  const rgb = [1, 3, 5].map((i) => parseInt(hex.slice(i, i + 2), 16) / 255);
+  const [r, g, b] = rgb.map((c) => (c <= 0.03928 ? c / 12.92 : ((c + 0.055) / 1.055) ** 2.4));
+  return 0.2126 * r + 0.7152 * g + 0.0722 * b;
+}
+
+function contrastRatio(a: string, b: string): number {
+  const l1 = relLuminance(a);
+  const l2 = relLuminance(b);
+  const [lighter, darker] = l1 > l2 ? [l1, l2] : [l2, l1];
+  return (lighter + 0.05) / (darker + 0.05);
+}
+
+describe("Design-Tokens: WCAG 2.1 AA Kontrast", () => {
+  for (const scheme of ["light", "dark"] as const) {
+    const c = colorTokens[scheme];
+
+    it(`${scheme}: textPrimary auf background erfüllt AA (>= 4.5:1)`, () => {
+      expect(contrastRatio(c.textPrimary, c.background)).toBeGreaterThanOrEqual(4.5);
+    });
+
+    it(`${scheme}: textSecondary auf surface erfüllt AA (>= 4.5:1)`, () => {
+      expect(contrastRatio(c.textSecondary, c.surface)).toBeGreaterThanOrEqual(4.5);
+    });
+
+    it(`${scheme}: accentContrast auf accent erfüllt AA (>= 4.5:1)`, () => {
+      expect(contrastRatio(c.accentContrast, c.accent)).toBeGreaterThanOrEqual(4.5);
+    });
+
+    it(`${scheme}: dangerContrast auf danger erfüllt AA (>= 4.5:1)`, () => {
+      expect(contrastRatio(c.dangerContrast, c.danger)).toBeGreaterThanOrEqual(4.5);
+    });
+  }
+});

web/shl/components/Dialog.tsx

@@ -0,0 +1,88 @@
+"use client";
+
+// Dialog-Basis-Komponente — SHL-01. WCAG 2.1 AA: Fokus-Falle, ESC schließt, Tastaturbedienung vollständig.
+
+import { useEffect, useRef } from "react";
+import type { ReactNode } from "react";
+import { useI18n } from "../i18n/i18n";
+
+const FOCUSABLE_SELECTOR =
+  'a[href], button:not([disabled]), textarea:not([disabled]), input:not([disabled]), select:not([disabled]), [tabindex]:not([tabindex="-1"])';
+
+export interface DialogProps {
+  open: boolean;
+  onClose: () => void;
+  titleId: string;
+  title: string;
+  children: ReactNode;
+}
+
+export function Dialog({ open, onClose, titleId, title, children }: DialogProps) {
+  const { t } = useI18n();
+  const dialogRef = useRef<HTMLDivElement>(null);
+  const previouslyFocused = useRef<HTMLElement | null>(null);
+
+  useEffect(() => {
+    if (!open) return;
+    previouslyFocused.current = document.activeElement as HTMLElement | null;
+
+    const node = dialogRef.current;
+    const focusables = node?.querySelectorAll<HTMLElement>(FOCUSABLE_SELECTOR);
+    focusables?.[0]?.focus();
+
+    function handleKeyDown(event: KeyboardEvent) {
+      if (event.key === "Escape") {
+        onClose();
+        return;
+      }
+      if (event.key !== "Tab" || !node) return;
+
+      const items = Array.from(node.querySelectorAll<HTMLElement>(FOCUSABLE_SELECTOR));
+      if (items.length === 0) return;
+      const first = items[0];
+      const last = items[items.length - 1];
+
+      if (event.shiftKey && document.activeElement === first) {
+        event.preventDefault();
+        last.focus();
+      } else if (!event.shiftKey && document.activeElement === last) {
+        event.preventDefault();
+        first.focus();
+      }
+    }
+
+    document.addEventListener("keydown", handleKeyDown);
+    return () => {
+      document.removeEventListener("keydown", handleKeyDown);
+      previouslyFocused.current?.focus();
+    };
+  }, [open, onClose]);
+
+  if (!open) return null;
+
+  return (
+    <div
+      className="shl-dialog-backdrop"
+      role="presentation"
+      onMouseDown={(event) => {
+        if (event.target === event.currentTarget) onClose();
+      }}
+    >
+      <div
+        ref={dialogRef}
+        className="shl-dialog"
+        role="dialog"
+        aria-modal="true"
+        aria-labelledby={titleId}
+      >
+        <div className="shl-dialog-header">
+          <h2 id={titleId}>{title}</h2>
+          <button type="button" onClick={onClose} aria-label={t("shl.dialog.close")}>
+            ×
+          </button>
+        </div>
+        <div className="shl-dialog-body">{children}</div>
+      </div>
+    </div>
+  );
+}

web/shl/components/FormElements.tsx

@@ -0,0 +1,98 @@
+// Formularelemente-Basis-Komponenten — SHL-01. WCAG: jedes Feld hat verknüpftes <label>,
+// Fehler werden per aria-describedby + aria-invalid angebunden, nicht nur farblich markiert.
+
+import { useId } from "react";
+import type { InputHTMLAttributes, ReactNode, SelectHTMLAttributes } from "react";
+
+interface FieldWrapperProps {
+  label: string;
+  error?: string;
+  hint?: string;
+  children: (ids: { inputId: string; describedBy: string | undefined }) => ReactNode;
+}
+
+function FieldWrapper({ label, error, hint, children }: FieldWrapperProps) {
+  const inputId = useId();
+  const hintId = hint ? `${inputId}-hint` : undefined;
+  const errorId = error ? `${inputId}-error` : undefined;
+  const describedBy = [hintId, errorId].filter(Boolean).join(" ") || undefined;
+
+  return (
+    <div className="shl-field">
+      <label htmlFor={inputId}>{label}</label>
+      {children({ inputId, describedBy })}
+      {hint && (
+        <p id={hintId} className="shl-field-hint">
+          {hint}
+        </p>
+      )}
+      {error && (
+        <p id={errorId} className="shl-field-error" role="alert">
+          {error}
+        </p>
+      )}
+    </div>
+  );
+}
+
+export interface TextFieldProps
+  extends Omit<InputHTMLAttributes<HTMLInputElement>, "id" | "aria-describedby"> {
+  label: string;
+  error?: string;
+  hint?: string;
+}
+
+export function TextField({ label, error, hint, ...inputProps }: TextFieldProps) {
+  return (
+    <FieldWrapper label={label} error={error} hint={hint}>
+      {({ inputId, describedBy }) => (
+        <input
+          id={inputId}
+          aria-describedby={describedBy}
+          aria-invalid={error ? true : undefined}
+          {...inputProps}
+        />
+      )}
+    </FieldWrapper>
+  );
+}
+
+export interface SelectFieldProps
+  extends Omit<SelectHTMLAttributes<HTMLSelectElement>, "id" | "aria-describedby"> {
+  label: string;
+  error?: string;
+  hint?: string;
+  children: ReactNode;
+}
+
+export function SelectField({ label, error, hint, children, ...selectProps }: SelectFieldProps) {
+  return (
+    <FieldWrapper label={label} error={error} hint={hint}>
+      {({ inputId, describedBy }) => (
+        <select
+          id={inputId}
+          aria-describedby={describedBy}
+          aria-invalid={error ? true : undefined}
+          {...selectProps}
+        >
+          {children}
+        </select>
+      )}
+    </FieldWrapper>
+  );
+}
+
+export interface CheckboxFieldProps
+  extends Omit<InputHTMLAttributes<HTMLInputElement>, "id" | "type"> {
+  label: string;
+}
+
+export function CheckboxField({ label, ...inputProps }: CheckboxFieldProps) {
+  const inputId = useId();
+  return (
+    <div className="shl-field shl-field-checkbox">
+      <input id={inputId} type="checkbox" {...inputProps} />
+      <label htmlFor={inputId}>{label}</label>
+    </div>
+  );
+}

web/shl/components/Shell.tsx

@@ -0,0 +1,62 @@
+"use client";
+
+// Layout-Shell mit Navigation — SHL-01 Akzeptanzkriterium 1.
+// Globale Navigation zeigt nur Module, die Core für Tenant/Benutzer freigibt (Backend entscheidet, UI blendet nur aus).
+
+import type { ReactNode } from "react";
+import { useI18n } from "../i18n/i18n";
+import { useTheme } from "../theme/ThemeProvider";
+
+export interface ModuleLink {
+  key: string;
+  label: string;
+  href: string;
+  active?: boolean;
+}
+
+export interface ShellProps {
+  modules: ModuleLink[];
+  tenantLabel: string;
+  children: ReactNode;
+}
+
+export function Shell({ modules, tenantLabel, children }: ShellProps) {
+  const { scheme, toggle } = useTheme();
+  const { t } = useI18n();
+
+  return (
+    <div className="shl-shell">
+      <a className="shl-skip-link" href="#shl-main-content">
+        {t("shl.shell.skipToContent", "Zum Inhalt springen")}
+      </a>
+      <header className="shl-shell-header">
+        <nav aria-label={t("shl.shell.moduleNav", "Modul-Navigation")}>
+          <ul>
+            {modules.map((mod) => (
+              <li key={mod.key}>
+                <a href={mod.href} aria-current={mod.active ? "page" : undefined}>
+                  {mod.label}
+                </a>
+              </li>
+            ))}
+          </ul>
+        </nav>
+        <div className="shl-shell-context">
+          <span className="shl-tenant-context">{tenantLabel}</span>
+          <button
+            type="button"
+            onClick={toggle}
+            aria-label={
+              scheme === "light" ? t("shl.theme.toggleToDark") : t("shl.theme.toggleToLight")
+            }
+          >
+            {scheme === "light" ? "🌙" : "☀️"}
+          </button>
+        </div>
+      </header>
+      <main id="shl-main-content" className="shl-shell-content" tabIndex={-1}>
+        {children}
+      </main>
+    </div>
+  );
+}

web/shl/components/Table.tsx

@@ -0,0 +1,83 @@
+// Table-Basis-Komponente — SHL-01. WCAG: semantische <table>, scope auf Kopfzellen, sortierbare Spalten per Tastatur.
+
+import type { ReactNode } from "react";
+import { useI18n } from "../i18n/i18n";
+
+export interface TableColumn<Row> {
+  key: string;
+  header: string;
+  render: (row: Row) => ReactNode;
+  sortable?: boolean;
+}
+
+export interface TableProps<Row> {
+  columns: TableColumn<Row>[];
+  rows: Row[];
+  rowKey: (row: Row) => string;
+  sortKey?: string;
+  sortDirection?: "asc" | "desc";
+  onSort?: (key: string) => void;
+  caption?: string;
+}
+
+export function Table<Row>({
+  columns,
+  rows,
+  rowKey,
+  sortKey,
+  sortDirection,
+  onSort,
+  caption,
+}: TableProps<Row>) {
+  const { t } = useI18n();
+
+  return (
+    <table className="shl-table">
+      {caption && <caption>{caption}</caption>}
+      <thead>
+        <tr>
+          {columns.map((column) => {
+            const isSorted = column.key === sortKey;
+            const ariaSort = column.sortable
+              ? isSorted
+                ? sortDirection === "asc"
+                  ? "ascending"
+                  : "descending"
+                : "none"
+              : undefined;
+            return (
+              <th key={column.key} scope="col" aria-sort={ariaSort}>
+                {column.sortable ? (
+                  <button
+                    type="button"
+                    onClick={() => onSort?.(column.key)}
+                    className="shl-table-sort-button"
+                  >
+                    {column.header}
+                  </button>
+                ) : (
+                  column.header
+                )}
+              </th>
+            );
+          })}
+        </tr>
+      </thead>
+      <tbody>
+        {rows.length === 0 ? (
+          <tr>
+            <td colSpan={columns.length}>{t("shl.table.noRows")}</td>
+          </tr>
+        ) : (
+          rows.map((row) => (
+            <tr key={rowKey(row)}>
+              {columns.map((column) => (
+                <td key={column.key}>{column.render(row)}</td>
+              ))}
+            </tr>
+          ))
+        )}
+      </tbody>
+    </table>
+  );
+}

web/shl/components/Toast.tsx

@@ -0,0 +1,67 @@
+"use client";
+
+// Toast-Basis-Komponente — SHL-01. WCAG: aria-live sorgt dafür, dass Screenreader Meldungen ansagen.
+
+import { createContext, useCallback, useContext, useMemo, useState } from "react";
+import type { ReactNode } from "react";
+import { useI18n } from "../i18n/i18n";
+
+export type ToastVariant = "info" | "success" | "danger" | "warning";
+
+export interface ToastMessage {
+  id: string;
+  text: string;
+  variant: ToastVariant;
+}
+
+interface ToastContextValue {
+  toasts: ToastMessage[];
+  push: (text: string, variant?: ToastVariant) => void;
+  dismiss: (id: string) => void;
+}
+
+const ToastContext = createContext<ToastContextValue | null>(null);
+
+export function ToastProvider({ children }: { children: ReactNode }) {
+  const [toasts, setToasts] = useState<ToastMessage[]>([]);
+  const { t } = useI18n();
+
+  const dismiss = useCallback((id: string) => {
+    setToasts((current) => current.filter((toast) => toast.id !== id));
+  }, []);
+
+  const push = useCallback((text: string, variant: ToastVariant = "info") => {
+    const id = `${Date.now()}-${Math.random().toString(36).slice(2, 8)}`;
+    setToasts((current) => [...current, { id, text, variant }]);
+  }, []);
+
+  const value = useMemo(() => ({ toasts, push, dismiss }), [toasts, push, dismiss]);
+
+  return (
+    <ToastContext.Provider value={value}>
+      {children}
+      <div className="shl-toast-region" role="status" aria-live="polite" aria-atomic="false">
+        {toasts.map((toast) => (
+          <div key={toast.id} className={`shl-toast shl-toast-${toast.variant}`}>
+            <span>{toast.text}</span>
+            <button
+              type="button"
+              onClick={() => dismiss(toast.id)}
+              aria-label={t("shl.toast.dismiss")}
+            >
+              ×
+            </button>
+          </div>
+        ))}
+      </div>
+    </ToastContext.Provider>
+  );
+}
+
+export function useToast(): ToastContextValue {
+  const ctx = useContext(ToastContext);
+  if (!ctx) {
+    throw new Error("useToast muss innerhalb von <ToastProvider> aufgerufen werden");
+  }
+  return ctx;
+}

web/shl/i18n/i18n.tsx

@@ -0,0 +1,75 @@
+"use client";
+
+// i18n-Rahmen (mind. Deutsch/Englisch) — SHL-01 Akzeptanzkriterium 5.
+// Liefert nur den Umschaltmechanismus + Basis-Komponenten-Texte.
+// Modul-Frontends liefern ihre eigenen fachlichen Textbausteine über registerMessages(),
+// statt einen eigenen i18n-Mechanismus zu bauen (siehe UI-UX-KONZEPT.md Abschnitt 4).
+
+import { createContext, useContext, useMemo, useState } from "react";
+import type { ReactNode } from "react";
+
+export type Locale = "de" | "en";
+
+type MessageDict = Record<string, string>;
+type MessageBundle = Record<Locale, MessageDict>;
+
+const baseMessages: MessageBundle = {
+  de: {
+    "shl.dialog.close": "Schließen",
+    "shl.toast.dismiss": "Meldung schließen",
+    "shl.table.noRows": "Keine Einträge vorhanden",
+    "shl.theme.toggleToLight": "Helles Erscheinungsbild",
+    "shl.theme.toggleToDark": "Dunkles Erscheinungsbild",
+  },
+  en: {
+    "shl.dialog.close": "Close",
+    "shl.toast.dismiss": "Dismiss message",
+    "shl.table.noRows": "No entries",
+    "shl.theme.toggleToLight": "Switch to light theme",
+    "shl.theme.toggleToDark": "Switch to dark theme",
+  },
+};
+
+// Registry, in die Modul-Frontends ihre eigenen Textbausteine einhängen.
+const registry: MessageBundle = { de: { ...baseMessages.de }, en: { ...baseMessages.en } };
+
+export function registerMessages(locale: Locale, messages: MessageDict): void {
+  registry[locale] = { ...registry[locale], ...messages };
+}
+
+interface I18nContextValue {
+  locale: Locale;
+  setLocale: (locale: Locale) => void;
+  t: (key: string, fallback?: string) => string;
+}
+
+const I18nContext = createContext<I18nContextValue | null>(null);
+
+export function I18nProvider({
+  initialLocale = "de",
+  children,
+}: {
+  initialLocale?: Locale;
+  children: ReactNode;
+}) {
+  const [locale, setLocale] = useState<Locale>(initialLocale);
+
+  const value = useMemo<I18nContextValue>(
+    () => ({
+      locale,
+      setLocale,
+      t: (key: string, fallback?: string) => registry[locale][key] ?? fallback ?? key,
+    }),
+    [locale],
+  );
+
+  return <I18nContext.Provider value={value}>{children}</I18nContext.Provider>;
+}
+
+export function useI18n(): I18nContextValue {
+  const ctx = useContext(I18nContext);
+  if (!ctx) {
+    throw new Error("useI18n muss innerhalb von <I18nProvider> aufgerufen werden");
+  }
+  return ctx;
+}

web/shl/index.ts

@@ -0,0 +1,25 @@
+// Öffentliche Schnittstelle des Pakets @nexarch/shl — Modul-Frontends importieren ausschließlich hierüber,
+// nicht aus internen Unterpfaden (SHL-01 Akzeptanzkriterium 2: dokumentiert, versioniert, importierbar statt kopiert).
+
+export { colorTokens, spacing, breakpoints, typography, cssVariables } from "./tokens/tokens";
+export type { ColorScheme, ColorTokens } from "./tokens/tokens";
+
+export { ThemeProvider, useTheme, currentColors } from "./theme/ThemeProvider";
+
+export { I18nProvider, useI18n, registerMessages } from "./i18n/i18n";
+export type { Locale } from "./i18n/i18n";
+
+export { Shell } from "./components/Shell";
+export type { ShellProps, ModuleLink } from "./components/Shell";
+
+export { Dialog } from "./components/Dialog";
+export type { DialogProps } from "./components/Dialog";
+
+export { Table } from "./components/Table";
+export type { TableProps, TableColumn } from "./components/Table";
+
+export { TextField, SelectField, CheckboxField } from "./components/FormElements";
+export type { TextFieldProps, SelectFieldProps, CheckboxFieldProps } from "./components/FormElements";
+
+export { ToastProvider, useToast } from "./components/Toast";
+export type { ToastMessage, ToastVariant } from "./components/Toast";

web/shl/package.json

@@ -0,0 +1,25 @@
+{
+  "name": "@nexarch/shl",
+  "version": "0.1.0",
+  "private": true,
+  "description": "NEXARCH UI-Shell & Design-System (Core SHL-01) — gemeinsames Paket für alle Modul-Frontends.",
+  "main": "index.ts",
+  "types": "index.ts",
+  "scripts": {
+    "test": "vitest run",
+    "typecheck": "tsc --noEmit"
+  },
+  "peerDependencies": {
+    "react": "^18.3.1",
+    "react-dom": "^18.3.1"
+  },
+  "devDependencies": {
+    "@testing-library/jest-dom": "^6.4.8",
+    "@testing-library/react": "^16.0.0",
+    "@types/react": "18.3.3",
+    "@types/react-dom": "18.3.0",
+    "jsdom": "^24.1.1",
+    "typescript": "5.5.3",
+    "vitest": "^2.0.0"
+  }
+}

web/shl/theme/ThemeProvider.tsx

@@ -0,0 +1,81 @@
+"use client";
+
+// Zentrales Theming (Hell/Dunkel) — SHL-01 Akzeptanzkriterium 6.
+// Einzige Quelle für Hell/Dunkel-Werte; Modul-Frontends schalten nur um, bauen kein eigenes Theming.
+
+import { createContext, useCallback, useContext, useEffect, useMemo, useState } from "react";
+import type { ReactNode } from "react";
+import { colorTokens, cssVariables, type ColorScheme } from "../tokens/tokens";
+
+const STORAGE_KEY = "nexarch-shl-theme";
+
+interface ThemeContextValue {
+  scheme: ColorScheme;
+  setScheme: (scheme: ColorScheme) => void;
+  toggle: () => void;
+}
+
+const ThemeContext = createContext<ThemeContextValue | null>(null);
+
+function readStoredScheme(): ColorScheme | null {
+  if (typeof window === "undefined") return null;
+  try {
+    const stored = window.localStorage.getItem(STORAGE_KEY);
+    return stored === "light" || stored === "dark" ? stored : null;
+  } catch {
+    // localStorage kann in privaten Fenstern/eingeschränkten Kontexten fehlschlagen — kein Absturz, nur kein persistierter Zustand.
+    return null;
+  }
+}
+
+function systemPrefersDark(): boolean {
+  if (typeof window === "undefined" || !window.matchMedia) return false;
+  return window.matchMedia("(prefers-color-scheme: dark)").matches;
+}
+
+export function ThemeProvider({ children }: { children: ReactNode }) {
+  const [scheme, setSchemeState] = useState<ColorScheme>("light");
+
+  useEffect(() => {
+    const stored = readStoredScheme();
+    setSchemeState(stored ?? (systemPrefersDark() ? "dark" : "light"));
+  }, []);
+
+  const setScheme = useCallback((next: ColorScheme) => {
+    setSchemeState(next);
+    try {
+      window.localStorage.setItem(STORAGE_KEY, next);
+    } catch {
+      // Speichern optional — Umschaltung funktioniert auch ohne Persistenz.
+    }
+  }, []);
+
+  const toggle = useCallback(() => {
+    setScheme(scheme === "light" ? "dark" : "light");
+  }, [scheme, setScheme]);
+
+  useEffect(() => {
+    const vars = cssVariables(scheme);
+    const root = document.documentElement;
+    for (const [key, value] of Object.entries(vars)) {
+      root.style.setProperty(key, value);
+    }
+    root.dataset.shlTheme = scheme;
+  }, [scheme]);
+
+  const value = useMemo(() => ({ scheme, setScheme, toggle }), [scheme, setScheme, toggle]);
+
+  return <ThemeContext.Provider value={value}>{children}</ThemeContext.Provider>;
+}
+
+export function useTheme(): ThemeContextValue {
+  const ctx = useContext(ThemeContext);
+  if (!ctx) {
+    throw new Error("useTheme muss innerhalb von <ThemeProvider> aufgerufen werden");
+  }
+  return ctx;
+}
+
+export function currentColors(scheme: ColorScheme) {
+  return colorTokens[scheme];
+}

web/shl/tokens/tokens.ts

@@ -0,0 +1,96 @@
+// Design-Tokens: einzige Quelle für Farbe, Abstand, Typografie im gesamten Frontend-Verbund.
+// Modul-Frontends importieren diese Tokens, überschreiben sie nicht lokal (SHL-01 Akzeptanzkriterium 3).
+// Kontrastwerte sind gegen WCAG 2.1 AA geprüft (Akzeptanzkriterium 1/4): mindestens 4.5:1 für Fließtext.
+
+export type ColorScheme = "light" | "dark";
+
+export interface ColorTokens {
+  background: string;
+  surface: string;
+  surfaceRaised: string;
+  border: string;
+  textPrimary: string;
+  textSecondary: string;
+  accent: string;
+  accentContrast: string;
+  danger: string;
+  dangerContrast: string;
+  success: string;
+  warning: string;
+  focusRing: string;
+}
+
+// Kontrastwerte geprüft: textPrimary auf background/surface >= 7:1, textSecondary >= 4.5:1,
+// accentContrast auf accent >= 4.5:1 (WCAG AA, siehe SHL-01 Prüfung 3).
+export const colorTokens: Record<ColorScheme, ColorTokens> = {
+  light: {
+    background: "#FFFFFF",
+    surface: "#F5F6F8",
+    surfaceRaised: "#FFFFFF",
+    border: "#D7DBE0",
+    textPrimary: "#14181F",
+    textSecondary: "#4B5563",
+    accent: "#1D4ED8",
+    accentContrast: "#FFFFFF",
+    danger: "#B91C1C",
+    dangerContrast: "#FFFFFF",
+    success: "#15803D",
+    warning: "#B45309",
+    focusRing: "#1D4ED8",
+  },
+  dark: {
+    background: "#0F1115",
+    surface: "#181B21",
+    surfaceRaised: "#20242C",
+    border: "#333944",
+    textPrimary: "#F2F4F7",
+    textSecondary: "#B4BAC4",
+    accent: "#5B8DEF",
+    accentContrast: "#0F1115",
+    danger: "#F87171",
+    dangerContrast: "#0F1115",
+    success: "#4ADE80",
+    warning: "#FBBF24",
+    focusRing: "#5B8DEF",
+  },
+};
+
+export const spacing = {
+  xs: "4px",
+  sm: "8px",
+  md: "16px",
+  lg: "24px",
+  xl: "32px",
+  xxl: "48px",
+} as const;
+
+export const breakpoints = {
+  mobile: "0px",
+  tablet: "768px",
+  desktop: "1200px",
+} as const;
+
+export const typography = {
+  fontFamily: "'Inter', 'Segoe UI', system-ui, sans-serif",
+  fontFamilyMono: "'JetBrains Mono', ui-monospace, monospace",
+  sizeSm: "13px",
+  sizeMd: "15px",
+  sizeLg: "18px",
+  sizeXl: "24px",
+  lineHeight: 1.5,
+  weightRegular: 400,
+  weightMedium: 500,
+  weightBold: 600,
+} as const;
+
+export function cssVariables(scheme: ColorScheme): Record<string, string> {
+  const c = colorTokens[scheme];
+  const vars: Record<string, string> = {};
+  for (const [key, value] of Object.entries(c)) {
+    vars[`--shl-color-${key.replace(/([A-Z])/g, "-$1").toLowerCase()}`] = value;
+  }
+  for (const [key, value] of Object.entries(spacing)) {
+    vars[`--shl-spacing-${key}`] = value;
+  }
+  return vars;
+}

web/shl/tsconfig.json

@@ -0,0 +1,18 @@
+{
+  "compilerOptions": {
+    "target": "ES2020",
+    "lib": ["dom", "dom.iterable", "esnext"],
+    "jsx": "react-jsx",
+    "module": "ESNext",
+    "moduleResolution": "bundler",
+    "strict": true,
+    "declaration": true,
+    "esModuleInterop": true,
+    "skipLibCheck": true,
+    "forceConsistentCasingInFileNames": true,
+    "noUnusedLocals": true,
+    "noUnusedParameters": true
+  },
+  "include": ["**/*.ts", "**/*.tsx"],
+  "exclude": ["node_modules"]
+}

web/shl/vitest.config.ts

@@ -0,0 +1,8 @@
+import { defineConfig } from "vitest/config";
+
+export default defineConfig({
+  test: {
+    environment: "jsdom",
+    setupFiles: ["./vitest.setup.ts"],
+  },
+});

web/shl/vitest.setup.ts

@@ -0,0 +1,9 @@
+import "@testing-library/jest-dom/vitest";
+import { afterEach } from "vitest";
+import { cleanup } from "@testing-library/react";
+
+// Ohne explizites Cleanup bleiben zwischen den it()-Blöcken gerenderte Dialoge im DOM stehen
+// (mehrere <html>/<body>-Bäume stapeln sich), wodurch getByRole() mehrere Treffer statt einen findet.
+afterEach(() => {
+  cleanup();
+});