deploy: installer + systemd-units, Core auf 192.168.1.131 in Betrieb

deploy/install.sh: idempotenter Installer fuer Debian/systemd. Legt
Systembenutzer 'nexarch', Postgres-Rolle+Registry-DB an, baut alle 7
Core-Binaries (cmd/core + *-devserver), wendet Registry-Migrationen an
(nur bei leerer DB), generiert Secrets (Audit-Admin-Token, Ed25519-
Lizenzschluesselpaar) nach /etc/nexarch/core.env (0600), installiert und
startet je Dienst einen systemd-Service.

Tatsaechlich auf 192.168.1.131 ausgefuehrt und verifiziert: alle 7 Dienste
laufen (systemctl active), alle Health-Endpunkte antworten 200. Zweiter
Installer-Lauf bestaetigt Idempotenz (ueberspringt bestehende Rolle/DB/
Secrets/Migrationen, Dienste bleiben durchgehend aktiv).

Hinweis: kein unified Server (siehe QA-05/AUD-06-Befund) - weiterhin 7
getrennte Binaries/Ports, dieser Installer deployt sie so wie sie sind.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HhgFcLS8tYMhDJpP74C6AQ

.gitea/workflows/contract-tests.yml

@@ -0,0 +1,22 @@
+name: Core-Schnittstellen-Vertragstests
+
+on:
+  push:
+    paths:
+      - "internal/contracttest/**"
+      - "internal/apiserver/**"
+      - "internal/moduletrust/**"
+      - "internal/moduleregistry/**"
+      - "internal/webhook/**"
+  pull_request: {}
+
+jobs:
+  contract-tests:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-go@v5
+        with:
+          go-version: "1.22"
+      - name: Vertragstests ausfuehren
+        run: go test ./internal/contracttest/... -v

.gitea/workflows/govulncheck.yml

@@ -0,0 +1,38 @@
+name: Supply-Chain-Scan (Go)
+
+on:
+  push:
+    paths:
+      - "**/*.go"
+      - "go.mod"
+      - "go.sum"
+  pull_request: {}
+
+jobs:
+  govulncheck:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-go@v5
+        with:
+          go-version: "1.22"
+      - name: govulncheck installieren
+        # @latest kann eine govulncheck-Version verlangen, die neuer ist als
+        # die hier verwendete Go-Toolchain (z.B. "requires go >= 1.25.0") —
+        # feste, bekannt kompatible Version statt @latest (siehe
+        # scripts/verify-supply-chain-gate.sh, Fund vom 2026-08-28 auf dem Testhost).
+        run: go install golang.org/x/vuln/cmd/govulncheck@v1.1.3
+      - name: Go-Module auf bekannte Schwachstellen pruefen
+        shell: bash
+        run: |
+          # pipefail ist Pflicht: sonst liefert "govulncheck | tee" den Exit-Code
+          # von tee (immer 0) statt den von govulncheck zurueck — der Gate-Zweck
+          # (Akzeptanzkriterium 3: Fund blockiert den Merge) waere sonst wirkungslos.
+          set -o pipefail
+          govulncheck ./... | tee govulncheck-report.txt
+      - name: Scan-Bericht als Artefakt ablegen
+        if: always()
+        uses: actions/upload-artifact@v4
+        with:
+          name: govulncheck-report
+          path: govulncheck-report.txt

.gitea/workflows/npm-audit.yml

@@ -0,0 +1,32 @@
+name: Supply-Chain-Scan (npm)
+
+on:
+  push:
+    paths:
+      - "web/**/package.json"
+      - "web/**/package-lock.json"
+  pull_request: {}
+
+jobs:
+  npm-audit:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - uses: actions/setup-node@v4
+        with:
+          node-version: "22"
+      - name: Alle Next.js-Frontends auf bekannte Schwachstellen pruefen
+        shell: bash
+        run: |
+          set -o pipefail
+          status=0
+          for pkg in $(find web -maxdepth 2 -name package.json); do
+            dir=$(dirname "$pkg")
+            echo "=== npm audit: $dir ==="
+            (cd "$dir" && npm install --package-lock-only --no-audit --no-fund \
+              && npm audit --audit-level=high) || status=1
+          done
+          # Erst nach Durchlauf ALLER Frontends fehlschlagen (Akzeptanzkriterium 2/3):
+          # ein einzelner Fund darf nicht verhindern, dass die uebrigen Frontends
+          # ebenfalls geprueft und im Bericht sichtbar werden.
+          exit $status

.gitignore

@@ -1,2 +1,4 @@
 *.log
 .env
+web/*/node_modules/
+web/*/.next/

DEVLOG.md

@@ -44,3 +44,343 @@ Keine Commits in dieser Session.
 Keine Änderungen ermittelbar.
 
 ---
+## 2026-08-27 17:26 – 17:28 (1m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+- c895a67 core: initial Go module skeleton (config, db pool, tenant registry migration)
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:28 – 17:29 (1m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+## 2026-08-28 21:44 – 21:44 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** nexarch
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:31 – 17:31 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-28 23:00 – 23:01 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** nexarch
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitea/workflows/govulncheck.yml       | 32 ++++++++++++++++++++++++++++++++
+- .gitea/workflows/npm-audit.yml         | 28 ++++++++++++++++++++++++++++
+- scripts/verify-supply-chain-gate.sh    | 60 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- testdata/vulnfixture-go/go.mod         |  8 ++++++++
+- testdata/vulnfixture-go/main.go        | 12 ++++++++++++
+- testdata/vulnfixture-npm/package.json  | 10 ++++++++++
+
+---
+## 2026-08-28 23:02 – 23:03 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+- ab7a033 OPS-06: fix — fixture ruft tatsaechlich verwundbaren symbolpfad auf (ParseAcceptLanguage statt Parse, GO-2022-1059 statt falscher advisory-id)
+- 77ecf42 OPS-06: fix — verify-supply-chain-gate.sh unterscheidet jetzt echten Fund von Werkzeugfehler (pruefte vorher nur exit-code, 'command not found' galt faelschlich als bestanden)
+
+### Geänderte Dateien
+- testdata/vulnfixture-go/go.mod       | 8 +++++---
+- testdata/vulnfixture-go/main.go      | 7 +++++--
+- DEVLOG.md                            | 12 ++++++++++++
+- scripts/verify-supply-chain-gate.sh  | 52 +++++++++++++++++++++++++++++++++++++---------------
+
+---
+## 2026-08-28 23:04 – 23:05 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+- 9de84f6 OPS-06: fix — fehlendes fail=1 im govulncheck-unavailable-zweig, govulncheck-version gepinnt statt @latest (Go-Versionskonflikt auf 131 gefunden)
+
+### Geänderte Dateien
+- .gitea/workflows/govulncheck.yml    |  6 +++++-
+- DEVLOG.md                           | 12 ++++++++++++
+- scripts/verify-supply-chain-gate.sh | 13 +++++++++++--
+
+---
+## 2026-08-27 17:36 – 17:36 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:36 – 17:37 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:53 – 17:57 (4m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+- e479330 IAM-01: benutzer-datenmodell-crud
+
+### Geänderte Dateien
+- cmd/core/main.go                      |  11 ++++++++++-
+- go.mod                                |   9 +++++++++
+- go.sum                                |  28 ++++++++++++++++++++++++++++
+- internal/user/handler.go              |  66 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/user/store_test.go           | 173 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/user/superadmin_store.go     |  77 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/user/tenant_store.go         | 128 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/user/user.go                 |  42 ++++++++++++++++++++++++++++++++++++++++++
+- internal/user/user_test.go            |  24 ++++++++++++++++++++++++
+- migrations/0002_superadmins.down.sql  |   1 +
+- migrations/0002_superadmins.up.sql    |  14 ++++++++++++++
+- migrations/tenant/0001_users.down.sql |   1 +
+- migrations/tenant/0001_users.up.sql   |  16 ++++++++++++++++
+- web/shl/README.md                   | 45 +++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/__tests__/Dialog.test.tsx   | 38 ++++++++++++++++++++++++++++++++++++++
+- web/shl/__tests__/tokens.test.ts    | 39 +++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Dialog.tsx       | 88 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/FormElements.tsx | 98 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Shell.tsx        | 62 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Table.tsx        | 83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/components/Toast.tsx        | 67 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/i18n/i18n.tsx               | 75 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/index.ts                    | 25 +++++++++++++++++++++++++
+- web/shl/package.json                | 23 +++++++++++++++++++++++
+- web/shl/theme/ThemeProvider.tsx     | 81 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/tokens/tokens.ts            | 96 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/shl/tsconfig.json               | 18 ++++++++++++++++++
+
+---
+## 2026-08-28 21:51 – 21:57 (5m)
+**Beschreibung:** Claude Code Session
+**Projekt:** nexarch
+
+### Commits
+- 3c226da SHL-01: fix — vitest jsdom-environment + jest-dom-Setup (3 Dialog-Tests schlugen ohne DOM fehl)
+
+### Geänderte Dateien
+- web/shl/package.json     | 2 ++
+- web/shl/vitest.config.ts | 8 ++++++++
+- web/shl/vitest.setup.ts  | 1 +
+
+---
+## 2026-08-28 23:37 – 23:43 (5m)
+**Beschreibung:** Claude Code Session
+**Projekt:** nexarch
+
+### Commits
+- 369a40a OPS-05: alerting-bei-schwellwert-ueberschreitung (internal/alerting: regel-store, evaluator gegen ops-03-metriken, cfg-02-zustellung, drosselung je regel+zeitreihe)
+- 06dbd52 Merge branch 'feature/cfg-02-benachrichtigungs-dispatcher-core-service-fuer-module' into feature/ops-05-alerting-bei-schwellwert-ueberschreitung
+
+### Geänderte Dateien
+- internal/alerting/evaluator.go       | 194 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/alerting/evaluator_test.go  | 233 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/alerting/rules.go           | 132 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- migrations/0006_alert_rules.down.sql |   2 ++
+- migrations/0006_alert_rules.up.sql   |  24 ++++++++++++++++++++++
+
+---
+## 2026-08-29 00:00 – 00:00 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- internal/alerting/evaluator.go       | 194 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/alerting/evaluator_test.go  | 233 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/alerting/rules.go           | 132 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- migrations/0006_alert_rules.down.sql |   2 ++
+- migrations/0006_alert_rules.up.sql   |  24 ++++++++++++++++++++++
+
+---
+## 2026-08-29 00:03 – 00:06 (3m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- DEVLOG.md                  | 31 +++++++++++++++++++++++++++++++
+- go.mod                     | 19 +++++++++++++++----
+- go.sum                     | 36 ++++++++++++++++++++++++++++++------
+- internal/alerting/rules.go |  2 +-
+
+---
+## 2026-08-29 00:06 – 00:07 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** nexarch
+
+### Commits
+- fbcc9db RBAC-05: web/rbac-admin next.js-frontend (rollen+gruppen-verwaltung, audit-verlauf) auf shl-01
+- bd80f0c Merge branch 'feature/shl-01-ui-shell-design-system-zentral' into feature/rbac-05-rechte-administrationsoberflaeche
+- 051af43 RBAC-05: backend — handler.go (rollen-/gruppenverwaltung, selbst-eskalationsschutz), group.go ListGroups/Members
+- 9de9005 Merge branch 'feature/iam-02-login-session-jwt-grundgeruest' into feature/rbac-05-rechte-administrationsoberflaeche
+- 1b6a159 Merge branch 'feature/rbac-03-gruppen-abteilungen' into feature/rbac-05-rechte-administrationsoberflaeche
+
+### Geänderte Dateien
+- web/rbac-admin/app/groups/page.tsx | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/rbac-admin/app/layout.tsx      |  30 ++++++++++++++++++++++++++++++
+- web/rbac-admin/app/page.tsx        |   5 +++++
+- web/rbac-admin/app/roles/page.tsx  | 142 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/rbac-admin/lib/api.ts          |  68 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/rbac-admin/next.config.mjs     |   5 +++++
+- web/rbac-admin/package.json        |  22 ++++++++++++++++++++++
+- web/rbac-admin/tsconfig.json       |  21 +++++++++++++++++++++
+
+---
+## 2026-08-28 23:44 – 23:44 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- internal/tenantsettings/handler.go        |  74 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/tenantsettings/store_test.go     | 156 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/tenantsettings/tenantsettings.go | 187 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- migrations/0003_tenant_settings.down.sql  |   2 ++
+- migrations/0003_tenant_settings.up.sql    |  27 +++++++++++++++++++++++++++
+- scripts/reset-test-env.sh                 |  25 +++++++++++++++++++++++++
+- scripts/run-checks.sh                     |  24 ++++++++++++++++++++++++
+- web/rbac-admin/app/groups/page.tsx | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/rbac-admin/app/layout.tsx      |  30 ++++++++++++++++++++++++++++++
+- web/rbac-admin/app/page.tsx        |   5 +++++
+- web/rbac-admin/app/roles/page.tsx  | 142 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/rbac-admin/lib/api.ts          |  68 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/rbac-admin/next.config.mjs     |   5 +++++
+- web/rbac-admin/package.json        |  22 ++++++++++++++++++++++
+- web/rbac-admin/tsconfig.json       |  21 +++++++++++++++++++++
+
+---
+## 2026-08-28 23:45 – 23:51 (5m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+- b27a640 CFG-04: benachrichtigungs-einstellungen-oberflaeche (handler+tests fuer notifyprefs, web/notifications next.js-frontend auf shl-01)
+- 81ff8c1 Merge branch 'feature/shl-01-ui-shell-design-system-zentral' into feature/cfg-04-benachrichtigungs-einstellungen-oberflaeche
+- 22b3349 Merge branch 'feature/iam-02-login-session-jwt-grundgeruest' into feature/cfg-04-benachrichtigungs-einstellungen-oberflaeche
+- 2df3f93 CFG-04: backend teil 1 — internal/notifyprefs (praeferenz-store + enqueueifallowed-filter vor dispatcher)
+
+### Geänderte Dateien
+- internal/notifyprefs/handler.go         |  83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/notifyprefs/handler_test.go    | 122 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/notifyprefs/prefs_test.go      | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/app/layout.tsx        |  30 ++++++++++++++++++++++++++++++
+- web/notifications/app/overview/page.tsx |  43 +++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/app/page.tsx          |   5 +++++
+- web/notifications/app/settings/page.tsx |  97 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/lib/api.ts            |  45 +++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/next.config.mjs       |   5 +++++
+- web/notifications/package.json          |  22 ++++++++++++++++++++++
+- web/notifications/tsconfig.json         |  21 +++++++++++++++++++++
+
+---
+## 2026-08-28 23:51 – 23:51 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- internal/notifyprefs/handler.go         |  83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/notifyprefs/handler_test.go    | 122 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/notifyprefs/prefs_test.go      | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/app/layout.tsx        |  30 ++++++++++++++++++++++++++++++
+- web/notifications/app/overview/page.tsx |  43 +++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/app/page.tsx          |   5 +++++
+- web/notifications/app/settings/page.tsx |  97 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/lib/api.ts            |  45 +++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/next.config.mjs       |   5 +++++
+- web/notifications/package.json          |  22 ++++++++++++++++++++++
+- web/notifications/tsconfig.json         |  21 +++++++++++++++++++++
+
+---
+## 2026-08-28 23:52 – 23:52 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- internal/notifyprefs/handler.go         |  83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/notifyprefs/handler_test.go    | 122 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/notifyprefs/prefs_test.go      | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/app/layout.tsx        |  30 ++++++++++++++++++++++++++++++
+- web/notifications/app/overview/page.tsx |  43 +++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/app/page.tsx          |   5 +++++
+- web/notifications/app/settings/page.tsx |  97 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/lib/api.ts            |  45 +++++++++++++++++++++++++++++++++++++++++++++
+- web/notifications/next.config.mjs       |   5 +++++
+- web/notifications/package.json          |  22 ++++++++++++++++++++++
+- web/notifications/tsconfig.json         |  21 +++++++++++++++++++++
+
+---

archive/.golangci.yml

@@ -1,18 +0,0 @@
-version: "2"
-
-run:
-  timeout: 3m
-
-linters:
-  default: none
-  enable:
-    - govet
-    - staticcheck
-    - errcheck
-    - unused
-    - ineffassign
-
-formatters:
-  enable:
-    - gofmt
-    - goimports

archive/Makefile

@@ -1,19 +0,0 @@
-.PHONY: build lint fmt test check
-
-build:
-	go build ./...
-
-lint:
-	golangci-lint run ./...
-
-fmt:
-	gofmt -l .
-	@test -z "$$(gofmt -l .)" || (echo "gofmt-Verstoesse gefunden, siehe oben" && exit 1)
-
-test:
-	go test ./... -p 1 -count=1
-
-check: build
-	go vet ./...
-	golangci-lint run ./...
-	go test ./... -p 1 -count=1

archive/README.md

@@ -1,62 +0,0 @@
-# NEXARCH Archive
-
-Zentrales, modulübergreifendes Modul für Aufbewahrung, WORM, Compliance und
-Backup. Dieses Verzeichnis enthält bisher `internal/backup` (BAK-01,
-Datenbank-Backup-Strategie) — weitere Bausteine folgen ticketweise.
-
-## BAK-01: Datenbank-Backup
-
-`cmd/backup-cli` — Aufrufpunkt für systemd-Timer (siehe
-`../deploy/systemd/nexarch-archive-backup-*.timer`):
-
-```bash
-export NEXARCH_BACKUP_PG_USER=nexarch_backup
-export NEXARCH_BACKUP_PG_PASSWORD=...
-export NEXARCH_BACKUP_DIR=/var/nexarch-archiv/backups/postgres   # NICHT auf einem ephemeren Test-Dataset (siehe Betrieb)
-export NEXARCH_BACKUP_KEEP_GENERATIONS=7   # optional, Default 7
-
-backup-cli full          # neue Vollsicherung + Verifikation
-backup-cli incremental   # inkrementelle Sicherung gegen die neueste Generation
-backup-cli rotate        # entfernt alle bis auf die neuesten N Generationen
-```
-
-Voraussetzung: die konfigurierte Postgres-Rolle braucht das
-`REPLICATION`-Attribut (`pg_basebackup` nutzt eine
-Replikationsverbindung), und `summarize_wal = on` muss serverseitig gesetzt
-sein (PostgreSQL 17s natives inkrementelles Backup, keine WAL-Archivierung
-nötig).
-
-## BAK-02: Objekt-Storage-Backup
-
-`cmd/objectbackup-cli` sichert einen lokalen Verzeichnisbaum (den
-FDN-03-`LocalDriver`-Basisordner direkt, oder — für S3-gestützte
-Deployments — einen vorgelagerten `rclone`-Spiegel) mit
-[restic](https://restic.net) (Content-defined Chunking, verschlüsseltes
-Repository, geprüftes Tooling statt Eigenbau):
-
-```bash
-export NEXARCH_OBJECTBACKUP_REPO_DIR=/var/nexarch-archiv/backups/objects
-export NEXARCH_OBJECTBACKUP_PASSWORD=...
-export NEXARCH_OBJECTBACKUP_KEEP_SNAPSHOTS=30   # optional, Default 7
-
-objectbackup-cli backup /var/nexarch-objects   # Sicherung + Verifikation
-objectbackup-cli check                          # vollständiges Lesen aller Datenblöcke
-objectbackup-cli rotate                          # restic forget --keep-last N --prune
-```
-
-## Betrieb: Backup-Zielverzeichnis
-
-Backup-Ziele liegen unter `/var/nexarch-archiv/` (persistentes ZFS-Dataset,
-`zfs/data/subvol-1131-disk-0` auf 192.168.1.131), NIEMALS unter
-`/var/nexarch-test/` (ephemeres Dataset, wird von den `reset-test-env.sh`-
-Skripten der anderen Module geleert). ZFS-seitige Snapshots/Replikation
-dieses Datasets sind ein eigenständiges Infra-Runbook (siehe
-`../../STORAGE-KONZEPT.md` Abschnitt 7), kein Ticket-Code — `zfs
-dedup=on` bewusst NICHT setzen (hoher RAM-Bedarf), Deduplizierung läuft
-ausschließlich App-seitig über restic.
-
-## Prüfungen
-
-```bash
-make check   # build + vet + lint + test, analog Core/DMS
-```

archive/cmd/backup-cli/main.go

@@ -1,107 +0,0 @@
-// backup-cli ist der Aufrufpunkt für BAK-01, gedacht für systemd-Timer
-// (siehe deploy/systemd/) — "automatisiert nach Zeitplan" (Akzeptanzkriterium
-// 1) entsteht durch die Zeitplan-Definition im Timer-Unit, nicht durch
-// einen eigenen In-Prozess-Scheduler (kein zusätzlicher Dauerprozess nötig,
-// passt zur Produkt-DNA "kein Anwendungsserver mit unnötigem
-// Ressourcenverbrauch").
-package main
-
-import (
-	"context"
-	"fmt"
-	"log"
-	"os"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
-)
-
-func loadConfig() backup.Config {
-	cfg := backup.Config{
-		Host:      os.Getenv("NEXARCH_BACKUP_PG_HOST"),
-		Port:      os.Getenv("NEXARCH_BACKUP_PG_PORT"),
-		User:      os.Getenv("NEXARCH_BACKUP_PG_USER"),
-		Password:  os.Getenv("NEXARCH_BACKUP_PG_PASSWORD"),
-		BackupDir: os.Getenv("NEXARCH_BACKUP_DIR"),
-	}
-	if cfg.Host == "" {
-		cfg.Host = "localhost"
-	}
-	if cfg.Port == "" {
-		cfg.Port = "5432"
-	}
-	if cfg.User == "" || cfg.Password == "" || cfg.BackupDir == "" {
-		log.Fatal("NEXARCH_BACKUP_PG_USER, NEXARCH_BACKUP_PG_PASSWORD und NEXARCH_BACKUP_DIR muessen gesetzt sein")
-	}
-	return cfg
-}
-
-func latestManifest(backupDir string) (string, error) {
-	generations, err := backup.ListGenerations(backupDir)
-	if err != nil {
-		return "", err
-	}
-	if len(generations) == 0 {
-		return "", fmt.Errorf("keine vorhandene generation fuer inkrementelle sicherung gefunden - zuerst 'full' ausfuehren")
-	}
-	latest := generations[len(generations)-1]
-	full := backupDir + "/" + latest + "/" + backup.FullBackupDirName + "/" + backup.BackupManifestFile
-	if _, err := os.Stat(full); err == nil {
-		return full, nil
-	}
-	return "", fmt.Errorf("kein backup_manifest in der neuesten generation %q gefunden", latest)
-}
-
-func main() {
-	if len(os.Args) < 2 {
-		log.Fatal("aufruf: backup-cli <full|incremental|verify|rotate> [args]")
-	}
-	cfg := loadConfig()
-	ctx := context.Background()
-
-	switch os.Args[1] {
-	case "full":
-		genID := backup.NewGenerationID(time.Now())
-		manifest, err := backup.FullBackup(ctx, cfg, genID)
-		if err != nil {
-			log.Fatalf("vollsicherung fehlgeschlagen: %v", err)
-		}
-		dir := manifest[:len(manifest)-len("/"+backup.BackupManifestFile)]
-		if err := backup.Verify(dir); err != nil {
-			log.Fatalf("verifikation der vollsicherung fehlgeschlagen: %v", err)
-		}
-		fmt.Printf("vollsicherung %q erstellt und verifiziert: %s\n", genID, manifest)
-
-	case "incremental":
-		manifest, err := latestManifest(cfg.BackupDir)
-		if err != nil {
-			log.Fatal(err)
-		}
-		generations, _ := backup.ListGenerations(cfg.BackupDir)
-		genID := generations[len(generations)-1]
-		incID := backup.NewGenerationID(time.Now())
-		newManifest, err := backup.IncrementalBackup(ctx, cfg, genID, incID, manifest)
-		if err != nil {
-			log.Fatalf("inkrementelle sicherung fehlgeschlagen: %v", err)
-		}
-		dir := newManifest[:len(newManifest)-len("/"+backup.BackupManifestFile)]
-		if err := backup.Verify(dir); err != nil {
-			log.Fatalf("verifikation der inkrementellen sicherung fehlgeschlagen: %v", err)
-		}
-		fmt.Printf("inkrementelle sicherung %q erstellt und verifiziert: %s\n", incID, newManifest)
-
-	case "rotate":
-		keep := 7
-		if v := os.Getenv("NEXARCH_BACKUP_KEEP_GENERATIONS"); v != "" {
-			_, _ = fmt.Sscanf(v, "%d", &keep)
-		}
-		removed, err := backup.Rotate(cfg.BackupDir, keep)
-		if err != nil {
-			log.Fatalf("rotation fehlgeschlagen: %v", err)
-		}
-		fmt.Printf("rotation abgeschlossen, %d generation(en) entfernt: %v\n", len(removed), removed)
-
-	default:
-		log.Fatalf("unbekannter befehl %q", os.Args[1])
-	}
-}

archive/cmd/objectbackup-cli/main.go

@@ -1,75 +0,0 @@
-// objectbackup-cli ist der Aufrufpunkt für BAK-02, für systemd-Timer
-// gedacht (siehe deploy/systemd/) — "automatisiert nach Zeitplan" entsteht
-// durch die Timer-Definition, kein eigener Dauerprozess (dieselbe
-// Begründung wie BAK-01 / cmd/backup-cli).
-package main
-
-import (
-	"context"
-	"fmt"
-	"log"
-	"os"
-	"strconv"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
-)
-
-func loadConfig() objectbackup.Config {
-	cfg := objectbackup.Config{
-		RepoDir:  os.Getenv("NEXARCH_OBJECTBACKUP_REPO_DIR"),
-		Password: os.Getenv("NEXARCH_OBJECTBACKUP_PASSWORD"),
-	}
-	if cfg.RepoDir == "" || cfg.Password == "" {
-		log.Fatal("NEXARCH_OBJECTBACKUP_REPO_DIR und NEXARCH_OBJECTBACKUP_PASSWORD muessen gesetzt sein")
-	}
-	return cfg
-}
-
-func main() {
-	if len(os.Args) < 2 {
-		log.Fatal("aufruf: objectbackup-cli <backup <quellverzeichnis>|check|rotate>")
-	}
-	cfg := loadConfig()
-	ctx := context.Background()
-
-	if err := objectbackup.InitRepo(ctx, cfg); err != nil {
-		log.Fatalf("repository initialisieren: %v", err)
-	}
-
-	switch os.Args[1] {
-	case "backup":
-		if len(os.Args) < 3 {
-			log.Fatal("aufruf: objectbackup-cli backup <quellverzeichnis>")
-		}
-		summary, err := objectbackup.Backup(ctx, cfg, os.Args[2])
-		if err != nil {
-			log.Fatalf("sicherung fehlgeschlagen: %v", err)
-		}
-		if err := objectbackup.Check(ctx, cfg, false); err != nil {
-			log.Fatalf("verifikation nach sicherung fehlgeschlagen: %v", err)
-		}
-		fmt.Printf("sicherung %q erstellt und verifiziert (neu=%d geaendert=%d unveraendert=%d)\n",
-			summary.SnapshotID, summary.FilesNew, summary.FilesChanged, summary.FilesUnmodified)
-
-	case "check":
-		if err := objectbackup.Check(ctx, cfg, true); err != nil {
-			log.Fatalf("verifikation fehlgeschlagen: %v", err)
-		}
-		fmt.Println("verifikation (mit vollstaendigem lesen) erfolgreich")
-
-	case "rotate":
-		keep := 7
-		if v := os.Getenv("NEXARCH_OBJECTBACKUP_KEEP_SNAPSHOTS"); v != "" {
-			if n, err := strconv.Atoi(v); err == nil {
-				keep = n
-			}
-		}
-		if err := objectbackup.Forget(ctx, cfg, keep); err != nil {
-			log.Fatalf("rotation fehlgeschlagen: %v", err)
-		}
-		fmt.Println("rotation abgeschlossen")
-
-	default:
-		log.Fatalf("unbekannter befehl %q", os.Args[1])
-	}
-}

archive/cmd/reconcile-cli/main.go

@@ -1,55 +0,0 @@
-// reconcile-cli ist der Aufrufpunkt für BAK-05, für systemd-Timer gedacht
-// (siehe deploy/systemd/) — "geplanter Abgleichs-Job" (Ticket-Vorgabe)
-// entsteht durch die Timer-Definition, kein eigener Dauerprozess.
-package main
-
-import (
-	"context"
-	"encoding/json"
-	"log"
-	"os"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/reconcile"
-)
-
-func main() {
-	dsn := os.Getenv("NEXARCH_RECONCILE_TENANT_DSN")
-	storageDir := os.Getenv("NEXARCH_RECONCILE_STORAGE_DIR")
-	if dsn == "" || storageDir == "" {
-		log.Fatal("NEXARCH_RECONCILE_TENANT_DSN und NEXARCH_RECONCILE_STORAGE_DIR muessen gesetzt sein")
-	}
-
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		log.Fatalf("datenbankverbindung: %v", err)
-	}
-	defer pool.Close()
-
-	dbEntries, err := reconcile.ListDBStorageKeys(ctx, pool)
-	if err != nil {
-		log.Fatalf("datenbank-eintraege lesen: %v", err)
-	}
-	storageKeys, err := reconcile.ListStorageObjects(storageDir)
-	if err != nil {
-		log.Fatalf("objekt-storage durchlaufen: %v", err)
-	}
-
-	report := reconcile.Reconcile(dbEntries, storageKeys)
-
-	encoder := json.NewEncoder(os.Stdout)
-	encoder.SetIndent("", "  ")
-	if err := encoder.Encode(report); err != nil {
-		log.Fatalf("bericht ausgeben: %v", err)
-	}
-
-	// Nicht-null-Exit-Code bei Abweichungen (Akzeptanzkriterium 3:
-	// Abweichungen werden BERICHTET, nicht automatisch behoben — der
-	// Exit-Code macht das fuer systemd/Monitoring sichtbar, OHNE selbst
-	// irgendetwas zu reparieren).
-	if !report.IsClean() {
-		os.Exit(1)
-	}
-}

archive/cmd/restore-cli/main.go

@@ -1,104 +0,0 @@
-// restore-cli ist der Aufrufpunkt fuer BAK-03: dokumentiertes,
-// wiederholbares Restore-Verfahren fuer Datenbank (BAK-01) und
-// Objekt-Storage (BAK-02). Kein systemd-Timer (Notfall-/Einzelfall-
-// Werkzeug, kein Zeitplan) - manueller Aufruf mit expliziter Bestaetigung
-// bei nicht-leerem Ziel.
-package main
-
-import (
-	"context"
-	"flag"
-	"fmt"
-	"log"
-	"os"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/restore"
-)
-
-func main() {
-	if len(os.Args) < 2 {
-		usage()
-		os.Exit(2)
-	}
-
-	logPath := os.Getenv("NEXARCH_RESTORE_LOG")
-	if logPath == "" {
-		logPath = "/var/nexarch-archiv/restore.log"
-	}
-
-	switch os.Args[1] {
-	case "database":
-		runDatabase(logPath, os.Args[2:])
-	case "objects":
-		runObjects(logPath, os.Args[2:])
-	default:
-		usage()
-		os.Exit(2)
-	}
-}
-
-func usage() {
-	fmt.Fprintln(os.Stderr, "usage: restore-cli database [-force] <generation-id> <ziel-verzeichnis>")
-	fmt.Fprintln(os.Stderr, "       restore-cli objects  [-force] <snapshot-id>    <ziel-verzeichnis>")
-	fmt.Fprintln(os.Stderr, "(Flag -force MUSS vor den Positionsargumenten stehen, Standardverhalten des Go-flag-Pakets)")
-}
-
-func runDatabase(logPath string, args []string) {
-	fs := flag.NewFlagSet("database", flag.ExitOnError)
-	force := fs.Bool("force", false, "bestehenden, nicht-leeren Inhalt im Zielverzeichnis ersetzen")
-	if err := fs.Parse(args); err != nil {
-		os.Exit(2)
-	}
-	if fs.NArg() != 2 {
-		usage()
-		os.Exit(2)
-	}
-	generationID, target := fs.Arg(0), fs.Arg(1)
-
-	cfg := backup.Config{
-		Host:      os.Getenv("NEXARCH_BACKUP_PG_HOST"),
-		Port:      os.Getenv("NEXARCH_BACKUP_PG_PORT"),
-		User:      os.Getenv("NEXARCH_BACKUP_PG_USER"),
-		Password:  os.Getenv("NEXARCH_BACKUP_PG_PASSWORD"),
-		BackupDir: os.Getenv("NEXARCH_BACKUP_DIR"),
-	}
-	ctx := context.Background()
-
-	entry, err := restore.AtomicRestore(restore.KindDatabase, generationID, target, *force, logPath, func(tempDir string) error {
-		return backup.Restore(ctx, cfg, generationID, tempDir)
-	})
-	report(entry, err)
-}
-
-func runObjects(logPath string, args []string) {
-	fs := flag.NewFlagSet("objects", flag.ExitOnError)
-	force := fs.Bool("force", false, "bestehenden, nicht-leeren Inhalt im Zielverzeichnis ersetzen")
-	if err := fs.Parse(args); err != nil {
-		os.Exit(2)
-	}
-	if fs.NArg() != 2 {
-		usage()
-		os.Exit(2)
-	}
-	snapshotID, target := fs.Arg(0), fs.Arg(1)
-
-	cfg := objectbackup.Config{
-		RepoDir:  os.Getenv("NEXARCH_OBJECTBACKUP_REPO_DIR"),
-		Password: os.Getenv("NEXARCH_OBJECTBACKUP_PASSWORD"),
-	}
-	ctx := context.Background()
-
-	entry, err := restore.AtomicRestore(restore.KindObjects, snapshotID, target, *force, logPath, func(tempDir string) error {
-		return objectbackup.Restore(ctx, cfg, snapshotID, tempDir)
-	})
-	report(entry, err)
-}
-
-func report(entry restore.LogEntry, err error) {
-	fmt.Printf("restore %s: quelle=%s ziel=%s ergebnis=%s\n", entry.Kind, entry.Source, entry.Target, entry.Result)
-	if err != nil {
-		log.Fatalf("restore fehlgeschlagen: %v", err)
-	}
-}

archive/cmd/restoretest-cli/main.go

@@ -1,71 +0,0 @@
-// restoretest-cli ist der Aufrufpunkt fuer BAK-06 (systemd-Timer,
-// regelmaessiger Zeitplan) - fuehrt einen vollstaendigen Restore-Test
-// (Datenbank UND Objekt-Storage) gegen die jeweils neueste Sicherung in
-// eine isolierte Testumgebung durch und protokolliert das Ergebnis.
-package main
-
-import (
-	"context"
-	"log"
-	"os"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/restoretest"
-)
-
-func main() {
-	testRoot := os.Getenv("NEXARCH_RESTORETEST_DIR")
-	logPath := os.Getenv("NEXARCH_RESTORETEST_LOG")
-	if testRoot == "" || logPath == "" {
-		log.Fatal("NEXARCH_RESTORETEST_DIR und NEXARCH_RESTORETEST_LOG muessen gesetzt sein")
-	}
-	if err := os.MkdirAll(testRoot, 0o750); err != nil {
-		log.Fatalf("testverzeichnis anlegen: %v", err)
-	}
-
-	ctx := context.Background()
-	failed := false
-
-	dbCfg := backup.Config{
-		Host:      os.Getenv("NEXARCH_BACKUP_PG_HOST"),
-		Port:      os.Getenv("NEXARCH_BACKUP_PG_PORT"),
-		User:      os.Getenv("NEXARCH_BACKUP_PG_USER"),
-		Password:  os.Getenv("NEXARCH_BACKUP_PG_PASSWORD"),
-		BackupDir: os.Getenv("NEXARCH_BACKUP_DIR"),
-	}
-	pgCfg := restoretest.PgConfig{TestPort: envOr("NEXARCH_RESTORETEST_PG_PORT", "55433")}
-	dbResult := restoretest.RunDatabaseTest(ctx, dbCfg, pgCfg, testRoot)
-	logResult(logPath, dbResult)
-	if !dbResult.Success {
-		failed = true
-	}
-
-	objCfg := objectbackup.Config{
-		RepoDir:  os.Getenv("NEXARCH_OBJECTBACKUP_REPO_DIR"),
-		Password: os.Getenv("NEXARCH_OBJECTBACKUP_PASSWORD"),
-	}
-	objResult := restoretest.RunObjectTest(ctx, objCfg, testRoot)
-	logResult(logPath, objResult)
-	if !objResult.Success {
-		failed = true
-	}
-
-	if failed {
-		os.Exit(1)
-	}
-}
-
-func logResult(logPath string, r restoretest.Result) {
-	log.Printf("restoretest %s: quelle=%s erfolg=%t detail=%s", r.Kind, r.Source, r.Success, r.Detail)
-	if err := restoretest.AppendHistory(logPath, r); err != nil {
-		log.Fatalf("protokoll schreiben: %v", err)
-	}
-}
-
-func envOr(key, fallback string) string {
-	if v := os.Getenv(key); v != "" {
-		return v
-	}
-	return fallback
-}

archive/cmd/restoretest-metrics/main.go

@@ -1,70 +0,0 @@
-// restoretest-metrics stellt BAK-06s Testlauf-Historie unter /metrics
-// bereit - dauerhafter Prozess getrennt vom Oneshot-restoretest-cli
-// (Pull-Modell, Core OPS-03 scrapt, kein Push - dieselbe Begruendung wie
-// BAK-08s scrub-metrics).
-package main
-
-import (
-	"fmt"
-	"log"
-	"net/http"
-	"os"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/restoretest"
-)
-
-func main() {
-	logPath := os.Getenv("NEXARCH_RESTORETEST_LOG")
-	if logPath == "" {
-		log.Fatal("NEXARCH_RESTORETEST_LOG muss gesetzt sein")
-	}
-	addr := os.Getenv("NEXARCH_RESTORETEST_METRICS_LISTEN_ADDR")
-	if addr == "" {
-		addr = ":8091"
-	}
-
-	mux := http.NewServeMux()
-	mux.HandleFunc("/metrics", func(w http.ResponseWriter, r *http.Request) {
-		history, err := restoretest.ReadHistory(logPath)
-		if err != nil {
-			http.Error(w, err.Error(), http.StatusInternalServerError)
-			return
-		}
-
-		// Historie ist append-only (siehe AppendHistory) - die Anzahl
-		// fehlgeschlagener Eintraege waechst daher von selbst monoton,
-		// kein separater Zaehlerstand noetig (gueltiger Prometheus-Counter).
-		var failuresTotal int
-		lastSuccess := map[restoretest.Kind]float64{restoretest.KindDatabase: -1, restoretest.KindObjects: -1}
-		for _, res := range history {
-			if !res.Success {
-				failuresTotal++
-			}
-			if res.Success {
-				lastSuccess[res.Kind] = 1
-			} else {
-				lastSuccess[res.Kind] = 0
-			}
-		}
-
-		w.Header().Set("Content-Type", "text/plain; version=0.0.4")
-		body := fmt.Sprintf(
-			"# HELP nexarch_archive_restore_test_failures_total Anzahl seit Einrichtung fehlgeschlagener Restore-Testlaeufe (BAK-06).\n"+
-				"# TYPE nexarch_archive_restore_test_failures_total counter\n"+
-				"nexarch_archive_restore_test_failures_total %d\n"+
-				"# HELP nexarch_archive_restore_test_last_success Letzter Testlauf erfolgreich (1) oder fehlgeschlagen (0), -1 wenn noch kein Lauf, je Art.\n"+
-				"# TYPE nexarch_archive_restore_test_last_success gauge\n"+
-				"nexarch_archive_restore_test_last_success{kind=\"database\"} %g\n"+
-				"nexarch_archive_restore_test_last_success{kind=\"objects\"} %g\n",
-			failuresTotal, lastSuccess[restoretest.KindDatabase], lastSuccess[restoretest.KindObjects])
-		if _, err := w.Write([]byte(body)); err != nil {
-			log.Printf("restoretest-metrics: antwort schreiben: %v", err)
-		}
-	})
-	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	log.Printf("restoretest-metrics: listening on %s", addr)
-	if err := http.ListenAndServe(addr, mux); err != nil {
-		log.Fatalf("http server: %v", err)
-	}
-}

archive/cmd/scrub-cli/main.go

@@ -1,144 +0,0 @@
-// scrub-cli ist der Aufrufpunkt fuer BAK-08 (systemd-Timer, konfigurierbare
-// Kadenz) — zieht eine Stichprobe existierender Objekte (BAK-05 als
-// Existenz-Quelle), prueft deren Inhalt per SHA-256 gegen
-// file_revisions.checksum_sha256, meldet Abweichungen (kein Auto-Repair)
-// und schreibt den Befund-Zaehler fuer den OPS-05/OPS-03-Metrik-Export.
-package main
-
-import (
-	"context"
-	"encoding/json"
-	"log"
-	"os"
-	"strconv"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/reconcile"
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/scrub"
-)
-
-type finding struct {
-	StorageKey string `json:"storage_key"`
-	DocumentID string `json:"document_id"`
-	RevisionID string `json:"revision_id"`
-	Expected   string `json:"expected_checksum"`
-	Actual     string `json:"actual_checksum,omitempty"`
-	Error      string `json:"error,omitempty"`
-}
-
-type report struct {
-	GeneratedAt time.Time `json:"generated_at"`
-	Sampled     int       `json:"sampled"`
-	Findings    []finding `json:"findings"`
-}
-
-func main() {
-	dsn := os.Getenv("NEXARCH_SCRUB_TENANT_DSN")
-	storageDir := os.Getenv("NEXARCH_SCRUB_STORAGE_DIR")
-	if dsn == "" || storageDir == "" {
-		log.Fatal("NEXARCH_SCRUB_TENANT_DSN und NEXARCH_SCRUB_STORAGE_DIR muessen gesetzt sein")
-	}
-	sampleSize := envInt("NEXARCH_SCRUB_SAMPLE_SIZE", 10)
-	cooldown := envDuration("NEXARCH_SCRUB_COOLDOWN", 24*time.Hour)
-
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		log.Fatalf("datenbankverbindung: %v", err)
-	}
-	defer pool.Close()
-
-	dbEntries, err := reconcile.ListDBStorageKeys(ctx, pool)
-	if err != nil {
-		log.Fatalf("datenbank-eintraege lesen: %v", err)
-	}
-	storageKeys, err := reconcile.ListStorageObjects(storageDir)
-	if err != nil {
-		log.Fatalf("objekt-storage durchlaufen: %v", err)
-	}
-	rec := reconcile.Reconcile(dbEntries, storageKeys)
-
-	lastScrubbed, err := scrub.LoadLastScrubbed(ctx, pool)
-	if err != nil {
-		log.Fatalf("scrub-zustand lesen: %v", err)
-	}
-
-	now := time.Now().UTC()
-	candidates := scrub.Sample(rec.ExistingInStorage, lastScrubbed, cooldown, sampleSize, now)
-
-	keys := make([]string, 0, len(candidates))
-	for _, c := range candidates {
-		keys = append(keys, c.StorageKey)
-	}
-	expected, err := scrub.ExpectedChecksums(ctx, pool, keys)
-	if err != nil {
-		log.Fatalf("erwartete pruefsummen lesen: %v", err)
-	}
-
-	rep := report{GeneratedAt: now, Sampled: len(candidates)}
-	for _, c := range candidates {
-		exp, known := expected[c.StorageKey]
-		if !known {
-			// Objekt in DB nicht (mehr) auffindbar - das ist BAK-05s
-			// Zustaendigkeit (existiert der Datenbankeintrag?), nicht
-			// dieses Jobs; ueberspringen ohne Markierung.
-			continue
-		}
-		actual, readErr := scrub.ActualChecksum(storageDir, c.StorageKey)
-		ok := readErr == nil && actual == exp
-		if err := scrub.MarkScrubbed(ctx, pool, c.StorageKey, ok, now); err != nil {
-			log.Fatalf("scrub-zustand schreiben: %v", err)
-		}
-		if !ok {
-			f := finding{StorageKey: c.StorageKey, DocumentID: c.DocumentID, RevisionID: c.RevisionID, Expected: exp, Actual: actual}
-			if readErr != nil {
-				f.Error = readErr.Error()
-			}
-			rep.Findings = append(rep.Findings, f)
-			if err := scrub.RecordFinding(ctx, pool); err != nil {
-				log.Fatalf("befund-zaehler erhoehen: %v", err)
-			}
-		}
-	}
-
-	encoder := json.NewEncoder(os.Stdout)
-	encoder.SetIndent("", "  ")
-	if err := encoder.Encode(rep); err != nil {
-		log.Fatalf("bericht ausgeben: %v", err)
-	}
-
-	// Befund wird gemeldet, nicht automatisch repariert (Akzeptanzkriterium
-	// 3) - der Exit-Code macht das fuer systemd/Monitoring sichtbar, ohne
-	// selbst etwas zu reparieren; die tatsaechliche Meldung an OPS-05
-	// laeuft ueber den separaten /metrics-Export (cmd/scrub-metrics), nicht
-	// ueber diesen Exit-Code.
-	if len(rep.Findings) > 0 {
-		os.Exit(1)
-	}
-}
-
-func envInt(name string, def int) int {
-	v := os.Getenv(name)
-	if v == "" {
-		return def
-	}
-	n, err := strconv.Atoi(v)
-	if err != nil {
-		log.Fatalf("%s: ungueltiger wert %q: %v", name, v, err)
-	}
-	return n
-}
-
-func envDuration(name string, def time.Duration) time.Duration {
-	v := os.Getenv(name)
-	if v == "" {
-		return def
-	}
-	d, err := time.ParseDuration(v)
-	if err != nil {
-		log.Fatalf("%s: ungueltiger wert %q: %v", name, v, err)
-	}
-	return d
-}

archive/cmd/scrub-metrics/main.go

@@ -1,62 +0,0 @@
-// scrub-metrics stellt BAK-08s Befund-Zaehler unter /metrics bereit — die
-// OPS-05-Anbindung ist Pull-basiert (Core OPS-03 scrapt /metrics-URLs, kein
-// Push-Mechanismus), daher braucht es einen eigenen, dauerhaft laufenden
-// HTTP-Endpunkt getrennt vom Oneshot-scrub-cli (dessen Prozess nach jedem
-// Lauf beendet ist und daher zum Scrape-Zeitpunkt nicht erreichbar waere).
-package main
-
-import (
-	"context"
-	"fmt"
-	"log"
-	"net/http"
-	"os"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/scrub"
-)
-
-func main() {
-	dsn := os.Getenv("NEXARCH_SCRUB_TENANT_DSN")
-	if dsn == "" {
-		log.Fatal("NEXARCH_SCRUB_TENANT_DSN muss gesetzt sein")
-	}
-	addr := os.Getenv("NEXARCH_SCRUB_METRICS_LISTEN_ADDR")
-	if addr == "" {
-		addr = ":8090"
-	}
-
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		log.Fatalf("datenbankverbindung: %v", err)
-	}
-	defer pool.Close()
-
-	mux := http.NewServeMux()
-	mux.HandleFunc("/metrics", func(w http.ResponseWriter, r *http.Request) {
-		total, err := scrub.FindingsTotal(r.Context(), pool)
-		if err != nil {
-			http.Error(w, err.Error(), http.StatusInternalServerError)
-			return
-		}
-		w.Header().Set("Content-Type", "text/plain; version=0.0.4")
-		// Counter (Akzeptanzkriterium/Nutzervorgabe: monoton steigend, kein
-		// Gauge) - kein Befund => Wert 0, kein Dauer-Alarm ("kein Befund
-		// bedeutet kein Alarm", nicht "kein Wert").
-		body := fmt.Sprintf(
-			"# HELP nexarch_archive_storage_integrity_failures_total Anzahl seit Einrichtung gefundener Pruefsummen-Abweichungen (BAK-08).\n"+
-				"# TYPE nexarch_archive_storage_integrity_failures_total counter\n"+
-				"nexarch_archive_storage_integrity_failures_total %d\n", total)
-		if _, err := w.Write([]byte(body)); err != nil {
-			log.Printf("scrub-metrics: antwort schreiben: %v", err)
-		}
-	})
-	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	log.Printf("scrub-metrics: listening on %s", addr)
-	if err := http.ListenAndServe(addr, mux); err != nil {
-		log.Fatalf("http server: %v", err)
-	}
-}

archive/docs/BAK-01-PRUEFPROTOKOLL.md

@@ -1,97 +0,0 @@
-# BAK-01 – Prüfprotokoll: Datenbank-Backup-Strategie
-
-Welle 1, keine Vorbedingungen. Neues Modul-Verzeichnis `code/archive/`
-(gleiches Monorepo-Muster wie `code/dms/`), eigenes Go-Modul
-`gitea.perlbach24.de/scripte/nexarch/archive`.
-
-## Grundsatzentscheidung: PostgreSQL-17-natives inkrementelles Backup
-
-`pg_dump` kennt nur logische Vollsicherungen — "inkrementell" im Sinne des
-Tickets erfordert das physische Backup-Verfahren. Gewählt: PostgreSQL 17s
-natives `pg_basebackup --incremental` (WAL-Summarization), NICHT klassisches
-WAL-Archiving (`archive_mode`), weil letzteres einen Neustart der
-(geteilten, auch von Core/DMS-Tests genutzten) Postgres-Instanz auf
-192.168.1.131 erfordert hätte. Stattdessen `summarize_wal = on` gesetzt —
-nur ein `pg_reload_conf()`, kein Neustart, keine Unterbrechung laufender
-Verbindungen (per Health-Check nach der Änderung bestätigt).
-
-Voraussetzung geschaffen: Rolle `nexarch_backup` mit `REPLICATION`-Attribut
-angelegt (Postgres verlangt eine Replikationsverbindung für
-`pg_basebackup`), `pg_hba.conf` erlaubte lokale Replikationsverbindungen
-bereits.
-
-## Umsetzung
-
-- `internal/backup.FullBackup`/`IncrementalBackup` — rufen `pg_basebackup`
-  über `os/exec` auf, Ergebnis landet in einer Generationsstruktur
-  (`<BackupDir>/<Generation>/full/` bzw. `.../incremental/<ID>/`).
-- `internal/backup.Verify` — öffnet `base.tar.gz` vollständig (gzip- UND
-  tar-Stream, jeder Eintrag bis zum Ende gelesen, nicht nur Kopfdaten) —
-  Akzeptanzkriterium 2: Verifikation auf Lesbarkeit, nicht nur Erstellung.
-- `internal/backup.Rotate`/`ListGenerations` — Generationen sind nach
-  Zeitstempel-ID sortierbar, `Rotate` entfernt die ältesten bis auf `keep`
-  komplett (inklusive aller abhängigen Inkremente).
-- `cmd/backup-cli` — `full`/`incremental`/`rotate`, aufgerufen von
-  systemd-Timern (`deploy/systemd/nexarch-archive-backup-*.timer`) —
-  "automatisiert nach Zeitplan" (Akzeptanzkriterium 1) entsteht durch die
-  Timer-Definition, kein zusätzlicher Dauerprozess nötig.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Sicherung gegen Testdatenbank erfolgreich erstellt und verifiziert | **bestanden** — `TestFullBackup_CreatesVerifiedBackup` gegen die echte Postgres-17-Instanz auf 192.168.1.131 (kein Mock), zusätzlich `TestIncrementalBackup_IsSmallerThanFull`: inkrementelle Sicherung real deutlich kleiner als Vollsicherung (167 KB vs. 16 MB bei der ersten manuellen Probe) — beweist echte inkrementelle Übertragung, nicht nur eine zweite Vollsicherung |
-| 2 | Verifikation erkennt eine absichtlich beschädigte Sicherungsdatei | **bestanden** — `TestVerify_DetectsCorruptedFile`: 64 Bytes in der Mitte von `base.tar.gz` gekippt, `Verify` schlägt danach fehl (unbeschädigt zuvor erfolgreich) |
-| 3 | Rotationsregel entfernt nachweislich nur die ältesten Generationen | **bestanden** — `TestRotate_RemovesOnlyOldestGenerations`: 5 Generationen, `keep=2`, exakt die 3 ältesten entfernt, die 2 neuesten nachweislich unangetastet |
-
-## Echte Verdrahtung auf 192.168.1.131 (nicht nur Testcode)
-
-Anders als die zuletzt in DMS gefundenen "Baustein existiert, ist aber
-nirgends verdrahtet"-Fälle (FDN-03/FDN-09 gegen Core) wurde hier die
-komplette Kette tatsächlich installiert und ausgeführt:
-
-- `backup-cli` gebaut nach `/opt/nexarch-archive/bin/`
-- `/etc/nexarch/archive-backup.env` mit den Verbindungsdaten (0600)
-- 3 systemd-Timer installiert und aktiviert (`enable --now`):
-  Vollsicherung täglich 02:00 UTC, Inkrement stündlich, Rotation täglich
-  03:00 UTC (`systemctl list-timers` bestätigt alle drei scharf)
-- Jeder der drei Dienste (`full`/`incremental`/`rotate`) einmal manuell über
-  `systemctl start` ausgelöst (nicht nur `go test` direkt) — alle drei mit
-  `status=0/SUCCESS`, Journal bestätigt inhaltlich korrekte Ausgabe
-  (Vollsicherung erstellt+verifiziert, Inkrement erstellt+verifiziert
-  gegen die richtige Vorgänger-Generation, Rotation lief ohne Fehler)
-
-## Build/Test-Ergebnis (192.168.1.131, `make check`)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1 -count=1  -> 4/4 Tests ok, 0 Fehlschläge (echter Postgres 17, kein Mock)
-```
-
-## Nachtrag (BAK-02-Sitzung): Backup-Zielverzeichnis korrigiert
-
-`NEXARCH_BACKUP_DIR` zeigte ursprünglich auf `/var/backups/nexarch`
-(Root-Dateisystem des Containers, kein dediziertes Dataset) — korrigiert auf
-`/var/nexarch-archiv/backups/postgres` (persistentes ZFS-Dataset), siehe
-`docs/BAK-02-PRUEFPROTOKOLL.md` Abschnitt „Korrektur an BAK-01" für Details.
-Vollsicherung nach der Korrektur erneut über systemd ausgelöst, landet
-nachweislich am neuen Ort.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt — inklusive tatsächlicher systemd-Timer-Installation und
-manuell ausgelöstem End-to-End-Lauf aller drei Dienste auf dem Testhost,
-nicht nur isolierter Testcode.
-
-## Nachtrag (BAK-03): Verify prüft jetzt auch pg_wal.tar.gz
-
-Beim Bau von BAK-03s echtem Restore-Test fiel auf, dass `pg_basebackup`
-(Standard-WAL-Methode `stream`) bei `-Ft -z` NEBEN `base.tar.gz` eine
-zweite Archivdatei `pg_wal.tar.gz` erzeugt, die `Verify` bislang nie
-geprüft hat — eine Sicherung mit beschädigtem WAL-Archiv wäre unbemerkt
-nicht crash-konsistent wiederherstellbar gewesen. `Verify` prüft seither
-beide Archive vollständig (siehe `BAK-03-PRUEFPROTOKOLL.md`). Das
-Sicherungsverfahren selbst (Format, Ort, Rotation) bleibt unverändert.

archive/docs/BAK-02-PRUEFPROTOKOLL.md

@@ -1,93 +0,0 @@
-# BAK-02 – Prüfprotokoll: Objekt-Storage-Backup/Snapshots
-
-Welle 1, keine Vorbedingungen.
-
-## Grundsatzentscheidung: restic statt Eigenbau
-
-Nutzerentscheidung: restic statt einer Neuimplementierung, weil restic alle
-vier Akzeptanzkriterien mit ausgereiftem, breit geprüftem Tooling erfüllt
-(Content-defined Chunking für Dedup, `check --read-data` für
-Vollständigkeit, `forget --keep-last` für Rotation, Repository-Verschlüsselung
-ab Werk). Installiert via `apt-get install restic` (Version 0.18.0).
-
-Backup-Quelle ist ein lokaler Verzeichnisbaum — für den FDN-03-`LocalDriver`
-direkt dessen Basisverzeichnis. Für S3-gestützte Produktions-Deployments
-(Betriebsmodus 2/3 aus `STORAGE-KONZEPT.md` Abschnitt 6.2) wäre ein
-vorgelagerter Sync-Schritt (z. B. `rclone`) nötig, um Bucket-Inhalte lokal
-zu spiegeln, bevor restic sie sichert — restic sichert Dateibäume, keine
-S3-Buckets direkt. Das bleibt hier bewusst unimplementiert (kein konkreter
-S3-Produktionsbestand vorhanden, der das aktuell erfordert), aber
-architektonisch vorgesehen und dokumentiert (`README.md`).
-
-## Umsetzung
-
-- `internal/objectbackup.InitRepo` — idempotent, erkennt "bereits
-  initialisiert" am `restic init`-Fehlertext statt zu scheitern.
-- `internal/objectbackup.Backup` — `restic backup --json`, parst die
-  `summary`-Zeile (mehrere JSON-Zeilen in der Ausgabe, gezielt die mit
-  `message_type=="summary"` gesucht).
-- `internal/objectbackup.Check` — `restic check [--read-data]` (Akzeptanz-
-  kriterium 3: Vollständigkeitsprüfung).
-- `internal/objectbackup.Forget` — `restic forget --keep-last N --prune`
-  (Rotation).
-- `cmd/objectbackup-cli` — `backup <dir>`/`check`/`rotate`, aufgerufen von
-  systemd-Timern (stündlich/wöchentlich/täglich).
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Zweiter Sicherungslauf nach unverändertem Bestand überträgt keine Daten erneut | **bestanden** — `TestBackup_UnchangedSecondRunTransmitsNothingNew`: zweiter Lauf gegen unveränderten Bestand liefert `files_new=0`, `files_changed=0`, `files_unmodified=1` |
-| 2 | Zwei identische Testdateien belegen nachweislich nur einmal Speicherplatz | **bestanden** — `TestBackup_DeduplicatesIdenticalContent`: zwei Dateien mit identischem Inhalt erzeugen `data_blobs=1`, nicht 2 — echter Dedup-Nachweis über restics Content-defined Chunking, nicht nur Namensvergleich |
-| 3 | Vollständigkeitsprüfung erkennt ein fehlendes Objekt in der Sicherung | **bestanden** — `TestCheck_DetectsCorruptedPack`: ein Byte in einer echten Repository-Pack-Datei gekippt, `Check(readData=true)` schlägt danach fehl (unbeschädigt zuvor erfolgreich) — dieselbe Vorgehensweise wie die manuelle Recherche vor der Implementierung |
-
-Zusätzlich (nicht explizit als Pflichtprüfung gefordert, aber Teil von
-Akzeptanzkriterium 3 „lässt sich einzeln prüfen"): `TestForget_
-KeepsOnlyRequestedSnapshotCount` — 3 Sicherungsläufe, `Forget(keepLast=1)`
-reduziert auf genau 1 verbleibenden Snapshot.
-
-## Korrektur an BAK-01 im selben Rutsch: Backup-Zielverzeichnis
-
-Nutzerhinweis aufgegriffen: `NEXARCH_BACKUP_DIR` zeigte bei BAK-01
-ursprünglich auf `/var/backups/nexarch` (Root-Dateisystem des LXC-
-Containers, nicht auf einem der beiden dedizierten ZFS-Datasets). Korrigiert
-auf `/var/nexarch-archiv/backups/postgres` (persistentes Dataset
-`zfs/data/subvol-1131-disk-0`), NICHT `/var/nexarch-test/` (ephemeres
-Dataset `ssd-rpool-data/swap/subvol-1131-disk-0`, wird von
-`reset-test-env.sh`-Skripten anderer Module geleert). `objectbackup-cli`s
-Repository liegt von Anfang an korrekt unter
-`/var/nexarch-archiv/backups/objects`. Beide Pfade real auf
-192.168.1.131 verifiziert (`df`/`mount` bestätigt ZFS-Dataset-Zuordnung),
-BAK-01s Vollsicherung nach der Korrektur erneut über systemd ausgelöst und
-bestätigt am neuen Ort gelandet.
-
-ZFS-seitige Snapshot-/Replikations-Strategie für `nexarch/archiv` bleibt
-bewusst außerhalb dieses Tickets (Infra-Runbook, siehe
-`STORAGE-KONZEPT.md` Abschnitt 7 „Backup vs. Storage-Redundanz" sowie den
-Hinweis, `zfs dedup=on` NICHT zu setzen — App-seitige Dedup über restic
-genügt, ZFS-Dedup wäre auf dem 4-GB-Testhost ein Speicherrisiko).
-
-## Echte Verdrahtung auf 192.168.1.131
-
-- `objectbackup-cli` gebaut nach `/opt/nexarch-archive/bin/`
-- `/etc/nexarch/archive-objectbackup.env` (0600)
-- 3 systemd-Timer installiert und aktiviert: Sicherung stündlich (`:30`),
-  Vollständigkeitsprüfung wöchentlich (So. 04:00 UTC), Rotation täglich
-  (03:30 UTC) — `systemctl list-timers` bestätigt alle scharf
-- Jeder der drei Dienste einmal über `systemctl start` ausgelöst, alle mit
-  `status=0/SUCCESS`; Journal bestätigt inhaltlich korrekte Ausgabe
-
-## Build/Test-Ergebnis (192.168.1.131, `make check`)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1 -count=1  -> 2/2 Pakete mit Tests ok (internal/backup, internal/objectbackup), 0 Fehlschläge
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real gegen echtes restic-Tooling erfüllt. BAK-01-Pfadfehler im selben
-Rutsch korrigiert und erneut end-to-end verifiziert.

archive/docs/BAK-03-PRUEFPROTOKOLL.md

@@ -1,122 +0,0 @@
-# BAK-03 – Prüfprotokoll: Restore-Verfahren
-
-Voraussetzungen BAK-01, BAK-02 – erledigt, siehe eigene Protokolle.
-
-## Grundsatzentscheidung: Atomarität über Temp-Verzeichnis + Rename
-
-`internal/restore.AtomicRestore` kennt weder Postgres noch restic —
-reine Ablaufsteuerung: Wiederherstellung IMMER in ein frisches
-temporäres Verzeichnis (nie direkt in das Ziel), Übernahme erst bei
-Erfolg per `os.Rename` (selbes Dateisystem wie das Ziel, daher atomar).
-Ist das Ziel nicht leer und keine Bestätigung (`-force`) gegeben, wird
-NICHT einmal die Wiederherstellungsfunktion aufgerufen — Abbruch vor
-jeder Berührung des Ziels (Akzeptanzkriterium 2). Jeder Aufruf — Erfolg,
-Abbruch oder Fehler — erzeugt genau einen JSONL-Protokolleintrag
-(Akzeptanzkriterium 3).
-
-Die eigentliche Wiederherstellung bleibt in `internal/backup.Restore`
-(Datenbank) und `internal/objectbackup.Restore` (Objekt-Storage) —
-`internal/restore` orchestriert nur.
-
-## Drei reale Defekte während der Implementierung gefunden und behoben
-
-Alle drei erst durch den ECHTEN Restore-Test (Postgres-Instanz tatsächlich
-gestartet, nicht nur Dateien verglichen) aufgedeckt:
-
-1. **`pg_combinebackup` braucht Plain-Format, BAK-01 liefert Tar+Gzip.**
-   `Restore` extrahiert jetzt jede Sicherungsstufe zunächst in ein
-   temporäres Plain-Verzeichnis (inkl. `backup_manifest`-Kopie) und
-   speist erst DIESE in `pg_combinebackup`. BAK-01s Speicherformat selbst
-   unverändert (kleinere, leichter prüfbare Dateien).
-2. **`pg_wal.tar.gz` wurde nie verifiziert oder wiederhergestellt.**
-   `pg_basebackup`s Standard-WAL-Methode (`stream`) erzeugt bei `-Ft -z`
-   eine ZWEITE Archivdatei neben `base.tar.gz` — ohne sie ist keine
-   crash-konsistente Wiederherstellung möglich (Postgres findet sonst
-   keinen gültigen Checkpoint). `backup.Verify` prüft jetzt BEIDE
-   Archive vollständig; `backup.Restore` extrahiert das WAL der ZULETZT
-   gezogenen Stufe (nicht aller Stufen) nach `pg_wal/` im
-   Wiederherstellungsziel. Ergänzung zu BAK-01s Prüfung, keine
-   Umstellung des Sicherungsverfahrens.
-3. **Go-`exec`-Hänger bei `pg_ctl start`:** `pg_ctl` startet Postgres als
-   Hintergrundprozess, der die geerbten stdout/stderr-Pipes NICHT
-   schließt — `CombinedOutput()` (wartet auf Pipe-EOF) hängt sich
-   dadurch auf, obwohl `pg_ctl` selbst längst zurückgekehrt ist. Fix nur
-   im Testcode: echte Logdatei (`-l`) statt Pipe, Standard-`pg_ctl`-Muster.
-
-Zusätzlich real (nicht Ticket-relevant, aber notiert): auf diesem
-Debian-Postgres liegen `postgresql.conf`/`pg_hba.conf` NICHT in PGDATA
-(sondern `/etc/postgresql/17/main/`) — ein echtes Restore-Runbook muss
-diese Dateien separat mitführen/rekonstruieren, `pg_basebackup` sichert
-sie nicht. Für den Testnachweis minimal nachgereicht, kein Produktcode.
-
-## Umsetzung
-
-- `internal/restore.AtomicRestore` — Ablaufsteuerung, JSONL-Protokoll
-  (`Timestamp`, `Kind`, `Source`, `Target`, `Result`).
-- `internal/backup.Restore` — `pg_combinebackup` gegen extrahierte
-  Plain-Verzeichnisse + WAL-Wiederherstellung der letzten Stufe.
-- `internal/backup.extractTarGz` (in `verify.go`, neben der bestehenden
-  Tar/Gzip-Leselogik) — vollständige Extraktion, kein Kopf-only-Read.
-- `internal/backup.Verify` — prüft jetzt `base.tar.gz` UND
-  `pg_wal.tar.gz` vollständig.
-- `internal/objectbackup.Restore` — `restic restore --target`.
-- `cmd/restore-cli` — `database`/`objects`-Unterbefehle, `-force`-Flag
-  (vor Positionsargumenten, Go-`flag`-Konvention), kein systemd-Timer
-  (Notfall-/Einzelfall-Werkzeug, kein Zeitplan).
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Restore auf leerem System vollständig und erfolgreich durchgeführt | **bestanden** — real: `TestRestore_CombinesIntoStartablePostgresInstance` (Postgres tatsächlich aus wiederhergestelltem Verzeichnis gestartet, `SELECT 1` über echte Verbindung beantwortet); zusätzlich real per `restore-cli database` auf 131 ausgeführt (PG_VERSION/base/pg_wal vorhanden, Exit 0); `TestRestore_RecoversRealContentFromSnapshot` (Objekt-Storage, echter Dateiinhalt verglichen) UND real per `restore-cli objects` auf 131 (echter restic-Snapshot wiederhergestellt) |
-| 2 | Restore auf nicht-leeres Zielverzeichnis lässt bei Abbruch den ursprünglichen Inhalt unverändert | **bestanden** — `TestAtomicRestore_NonEmptyTargetWithoutForce_LeavesOriginalUntouched` (restoreFn wird nachweislich NIE aufgerufen) und `TestAtomicRestore_FailedRestoreFn_LeavesTargetUntouched`; real auf 131: `restore-cli database` gegen nicht-leeres Ziel ohne `-force` → Abbruch, bestehende Testdatei unverändert vorhanden |
-| 3 | Protokolleintrag zum Restore ist vollständig und nachvollziehbar | **bestanden** — `TestAtomicRestore_LogsCompleteEntry` (Quelle, Ziel, Zeitpunkt, Ergebnis für Erfolgs- UND Abbruchfall in derselben Datei); real auf 131: `/tmp/restore-cli-test.log` zeigt alle vier realen Läufe (Abbruch, Fehler mangels PATH, Erfolg, Force-Überschreiben) korrekt protokolliert |
-
-Zusätzlich: `TestAtomicRestore_EmptyTarget_Succeeds`,
-`TestAtomicRestore_ForceOverwritesNonEmptyTarget` (bewusste Bestätigung
-ersetzt bestehenden Inhalt real, alter Inhalt nachweislich weg, neuer da).
-
-## Echte Verdrahtung auf 192.168.1.131
-
-- `restore-cli` gebaut nach `/opt/nexarch-archive/bin/`
-- Kein systemd-Timer (bewusst — Notfall-/Einzelfall-Werkzeug)
-- Vier reale CLI-Läufe durchgeführt und protokolliert: Abbruch bei
-  nicht-leerem Ziel ohne `-force`, Fehler mangels `pg_combinebackup` im
-  PATH (zeigt: Fehler wird korrekt erkannt UND protokolliert, kein
-  stiller Fehlschlag), erfolgreicher Restore einer echten Generation
-  (`20260829T222054Z`) in leeres Ziel, erfolgreiches Überschreiben mit
-  `-force`. Objekt-Storage-Restore real gegen echten restic-Snapshot
-  (`43da36bf`) — Inhalt (`.placeholder`-Datei) tatsächlich vorhanden.
-- Alle Testartefakte (`/tmp/restore-*`, Testlog) nach Prüfung entfernt.
-
-## Build/Test-Ergebnis
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-```
-
-`internal/restore`: 5/5 Tests (reine Funktionen, kein Setup nötig).
-`internal/objectbackup`: `TestRestore_RecoversRealContentFromSnapshot`
-bestanden (zusammen mit den bestehenden BAK-02-Tests).
-`internal/backup`: `TestRestore_CombinesIntoStartablePostgresInstance`
-bestanden — **Hinweis**: dieser eine Test läuft NICHT als root
-(`pg_ctl: cannot be run as root`) und braucht `pg_combinebackup`/
-`pg_ctl` im PATH (`/usr/lib/postgresql/17/bin` auf Debian, dort nicht
-standardmäßig verlinkt) — daher separat als `postgres`-Systemnutzer mit
-entsprechendem PATH ausgeführt, nicht Teil des root-`make check`-Laufs;
-dort wird er mit klarer Meldung übersprungen (`pg_combinebackup nicht
-installiert`), kein stiller Fehlschlag. Alle übrigen BAK-01-Tests
-(inkl. der um `pg_wal.tar.gz` erweiterten `Verify`) liefen unverändert
-grün im normalen `make check`-Lauf.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
-Pflichtprüfungen real erfüllt — beide Restore-Pfade (Datenbank,
-Objekt-Storage) sowohl testgetrieben als auch manuell über `restore-cli`
-auf echter Infrastruktur nachgewiesen. Drei während der Implementierung
-gefundene reale Defekte (Tar-vs-Plain-Format, fehlende WAL-Sicherung/
--Verifikation, Go-exec-Pipe-Hänger) behoben und dokumentiert, nicht
-stillschweigend umgangen.

archive/docs/BAK-05-PRUEFPROTOKOLL.md

@@ -1,119 +0,0 @@
-# BAK-05 – Prüfprotokoll: Reconciliation / Konsistenzprüfung Storage vs. DB
-
-Voraussetzung BAK-01, BAK-02 (Welle 1) – erledigt, siehe eigene Protokolle.
-
-## Grundsatzentscheidung: reine Funktion + zwei Quell-Adapter
-
-`internal/reconcile.Reconcile` ist eine reine Funktion ohne DB-/Storage-
-Zugriff (leicht ohne echte Infrastruktur testbar), die Ein- und
-Auslesen echter Systeme ist strikt in `sources.go` getrennt
-(`ListDBStorageKeys` gegen echtes Postgres, `ListStorageObjects` gegen
-echtes Dateisystem). Beide Seiten liefern nur SCHLÜSSEL – niemals Inhalt
-– dadurch bleibt BAK-05 sauber getrennt von BAK-08 (Inhalts-/Prüfsummen-
-verifikation, eigene Fehlerklasse, eigenes Ticket).
-
-Report-Format bewusst deterministisch: alle drei Ergebnislisten
-(`missing_in_storage`, `orphaned_in_storage`, `existing_in_storage`)
-nach `storage_key` aufsteigend sortiert.
-
-**Nachtrag (nach Rückfrage vor BAK-08-Start):** Der ursprüngliche Report
-enthielt nur die beiden Abweichungslisten – keine Liste der bestätigt
-existierenden Objekte. Für BAK-08 als Stichprobengrundlage reicht
-"keine Abweichung" nicht, es braucht die tatsächliche, deterministisch
-sortierte Liste. Ergänzt: `Report.ExistingInStorage` – DB-Eintrag UND
-Storage-Objekt beide vorhanden, reine Existenzbestätigung (keine
-Inhaltsprüfung, Scope-Trennung zu BAK-08 bleibt gewahrt), aufsteigend
-nach `storage_key` sortiert. BAK-08 zieht seine Stichprobe daraus, ohne
-selbst zu sortieren/filtern. Neuer Test
-`TestReconcile_ExistingInStorageIsStableSamplingBasis` beweist Inhalt
-und Sortierung. Real neu gebaut, getestet (9/9) und auf 131 erneut
-ausgelöst – Journal zeigt das Feld `existing_in_storage` im Report.
-
-Meldeweg über OPS-05 (wie später BAK-08) wurde als offene Design-Frage
-aufgeworfen, aber nicht zur Vorbedingung gemacht – hier bewusst noch
-nicht umgesetzt (kein OPS-05-Abhängigkeitseintrag im Board für BAK-05);
-Report wird aktuell nur als JSON auf stdout ausgegeben und per
-Exit-Code (1 bei Abweichungen) für systemd/Monitoring sichtbar gemacht.
-Anbindung an OPS-05 kann bei Bedarf nachgezogen werden, ohne
-`Reconcile` selbst zu ändern.
-
-## Umsetzung
-
-- `internal/reconcile.Reconcile(dbEntries, storageKeys) Report` – reine
-  Vergleichsfunktion, liefert `MissingInStorage`/`OrphanedInStorage`,
-  `Report.IsClean()` als eindeutiges Sauber-Merkmal.
-- `internal/reconcile.ListDBStorageKeys` – liest `file_revisions`
-  (DMS FDN-02) per direktem SQL aus derselben physischen Tenant-DB
-  (Modell C, Core TEN-01) – kein Import von DMS-Go-Paketen möglich
-  (eigenes Go-Modul), daher reiner SQL-Zugriff gegen das dokumentierte
-  Schema.
-- `internal/reconcile.ListStorageObjects` – durchläuft den lokalen
-  FDN-03-`LocalDriver`-Basisordner (`filepath.WalkDir`), liefert `nil,
-  nil` bei fehlendem Verzeichnis statt Fehler (noch keine Objekte ist
-  kein Fehlerzustand).
-- `cmd/reconcile-cli` – liest `NEXARCH_RECONCILE_TENANT_DSN` und
-  `NEXARCH_RECONCILE_STORAGE_DIR`, gibt Report als JSON auf stdout aus,
-  Exit-Code 1 bei Abweichungen.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Datenbankeintrag ohne Storage-Objekt wird erkannt | **bestanden** — `TestReconcile_DetectsMissingInStorage` |
-| 2 | Storage-Objekt ohne Datenbankeintrag wird erkannt | **bestanden** — `TestReconcile_DetectsOrphanedInStorage` |
-| 3 | Lauf ohne Abweichungen liefert leeren, eindeutig sauberen Bericht | **bestanden** — `TestReconcile_CleanRunProducesEmptyReport` (zusätzlich `IsClean()`-Konsistenzprüfung) |
-
-Zusätzlich (Nutzervorgaben, nicht explizit im Ticket als Pflichtprüfung
-benannt, aber zentral für die Abgrenzung/Weiterverwendbarkeit):
-
-- `TestReconcile_ExistingButCorruptedObjectProducesNoFinding` – Nachweis,
-  dass Reconcile AUSSCHLIESSLICH Existenz prüft, niemals Inhalt (Trennung
-  von BAK-08).
-- `TestReconcile_DeterministicOrdering` – zwei Läufe mit identischer
-  Eingabe liefern identische Reihenfolge, aufsteigend nach `storage_key`.
-- `TestListDBStorageKeys_ReadsRealFileRevisions` – liest echt gegen die
-  gemeinsame Tenant-Testdatenbank `dms_tenant_test` (reales DMS-FDN-02-
-  Schema, kein Mock).
-- `TestListStorageObjects_WalksRealDirectory` /
-  `_MissingDirectoryReturnsEmpty` – echtes Dateisystem, kein Mock.
-
-## Echte Verdrahtung auf 192.168.1.131
-
-- `reconcile-cli` gebaut nach `/opt/nexarch-archive/bin/`
-- `/etc/nexarch/archive-reconcile.env` (0600): `NEXARCH_RECONCILE_TENANT_DSN`
-  zeigt auf die gemeinsame Tenant-Testdatenbank `dms_tenant_test`
-  (DMS selbst läuft auf 192.168.1.131 noch nicht als eigener systemd-
-  Dienst mit persistenter Konfiguration – dies ist die real verfügbare
-  Tenant-DB mit echtem FDN-02-Schema, dokumentierter bekannter Stand,
-  kein stiller Mock); `NEXARCH_RECONCILE_STORAGE_DIR` zeigt auf
-  `/var/nexarch-archiv/dms-objects` (persistentes ZFS-Dataset, NICHT
-  `/var/nexarch-test/`).
-- Timer `nexarch-archive-reconcile.timer` installiert und aktiviert
-  (täglich 05:00 UTC), `systemctl list-timers` bestätigt scharf.
-- `systemctl start nexarch-archive-reconcile.service` real ausgelöst:
-  `status=0/SUCCESS`, Journal zeigt echten JSON-Report
-  (`missing_in_storage: null, orphaned_in_storage: null` – Tenant-DB
-  aktuell leer, daher sauberer Bericht, keine synthetische Ausgabe).
-
-## Build/Test-Ergebnis (192.168.1.131, `make check`)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1 -count=1  -> 3/3 Pakete mit Tests ok (internal/backup, internal/objectbackup, internal/reconcile), 0 Fehlschläge
-```
-
-`internal/reconcile`-Tests separat mit gesetzter `TEST_TENANT_DSN` gegen
-`dms_tenant_test` verifiziert: 9/9 Tests bestanden (6 reine
-`Reconcile`-Tests + 3 `sources.go`-Integrationstests).
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle Pflicht- sowie
-Nutzervorgaben-Prüfungen real erfüllt (echte Postgres-Instanz, echtes
-Dateisystem, echter systemd-Lauf). Zwei Testfehler während der
-Entwicklung (Schema-Abweichung `revision_number` NOT NULL in der realen
-`dms_tenant_test`-Tabelle; inkonsistente Fixture-Daten in
-`TestReconcile_DeterministicOrdering`) gefunden und korrigiert – beide
-waren Testautorenfehler, keine Fehler in `Reconcile` selbst.

archive/docs/BAK-06-PRUEFPROTOKOLL.md

@@ -1,110 +0,0 @@
-# BAK-06 – Prüfprotokoll: Restore-Testverfahren
-
-Voraussetzung BAK-03 – erledigt, siehe eigenes Protokoll.
-
-## Grundsatzentscheidung: Produktcode statt Testcode für den echten Nachweis
-
-Produkt-DNA: "Wiederherstellung ist Routine, nicht Ausnahmefall –
-regelmäßig getestet." Ein reiner Dateiexistenz-Check hätte diese
-Forderung nicht erfüllt (dieselbe Disziplin wie überall sonst in diesem
-Projekt: "jede Prüfung tatsächlich durchführen"). `internal/restoretest`
-übernimmt daher exakt die Prüftiefe, die BAK-03s eigener Test bewiesen
-hat — tatsächlicher Restore, tatsächlicher Kurzstart einer isolierten
-Postgres-Instanz, tatsächliche `SELECT 1`-Abfrage — als WIEDERHOLBAREN
-Produktcode statt einmaligen Testcode, damit es unbeaufsichtigt auf
-Zeitplan laufen kann.
-
-Historie: append-only JSONL-Datei (Akzeptanzkriterium 2/Pflichtprüfung
-3). Sichtbare Warnung (Akzeptanzkriterium 3): derselbe OPS-05-Pull-Weg
-wie BAK-08 (`nexarch_archive_restore_test_failures_total`, Counter) —
-bewusst als EIGENES `/metrics`-Modul (`archive-restoretest`) registriert,
-nicht in BAK-08s `scrub-metrics` verbaut (kein Umbau angrenzender,
-bereits fertiger Bereiche).
-
-## Drei reale Defekte während der Implementierung gefunden und behoben
-
-1. **Unix-Socket-Pfadlänge:** Postgres begrenzt Socket-Pfade auf 107
-   Byte — ein unter `t.TempDir()` verschachtelter Pfad reißt dieses
-   Limit leicht. Fix: eigenes, kurzes Socket-Verzeichnis
-   (`os.MkdirTemp("", ...)`), nicht unter dem Testverzeichnis.
-2. **`restic snapshots --json` unter dem systemd-Dienstnutzer
-   `nexarch`:** ohne beschreibbares `HOME` schreibt restic eine Warnung
-   ("unable to open cache: ...") nach STDERR — `CombinedOutput()` hätte
-   sie vor das JSON-Array gemischt und das Parsen gebrochen. Fix: nur
-   `cmd.Output()` (stdout), stderr separat für Fehlermeldungen.
-3. Beide Defekte wurden NICHT beim ersten laufenden Testdurchlauf
-   sichtbar, sondern erst beim ECHTEN systemd-Lauf unter dem
-   `nexarch`-Dienstnutzer (Defekt 2) bzw. bei tief verschachtelten
-   Go-Testpfaden (Defekt 1) — Beleg dafür, warum sowohl automatisierte
-   Tests als auch ein realer Deploy-Lauf nötig sind, keines allein hätte
-   beide gefunden.
-
-## Umsetzung
-
-- `internal/restoretest.RunDatabaseTest` — neueste Generation ermitteln
-  (`backup.ListGenerations`), `backup.Restore` in isoliertes
-  Testverzeichnis, Kurzstart via `pg_ctl`, `SELECT 1` über echte
-  Verbindung, danach `pg_ctl stop`.
-- `internal/restoretest.RunObjectTest` — neuesten Snapshot ermitteln,
-  `objectbackup.Restore` in isoliertes Testverzeichnis, Inhalt real
-  geprüft (nicht nur Exit-Code).
-- `internal/restoretest.AppendHistory`/`ReadHistory` — JSONL,
-  append-only.
-- `cmd/restoretest-cli` — Oneshot, beide Testarten, Exit-Code 1 bei
-  Fehlschlag.
-- `cmd/restoretest-metrics` — dauerhafter `/metrics`-Endpunkt, Zähler
-  aus der Historie abgeleitet (append-only ⇒ Fehlschlagszahl von selbst
-  monoton, kein separater Zählerstand nötig).
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Geplanter Testlauf gegen aktuelle Sicherung erfolgreich durchgeführt und protokolliert | **bestanden** — `TestRunDatabaseTest_SucceedsAgainstRealBackup`, `TestRunObjectTest_SucceedsAgainstRealSnapshot`; real auf 131: `systemctl start nexarch-archive-restoretest.service` → beide Testarten `erfolg=true`, in `history.log` protokolliert |
-| 2 | Absichtlich beschädigte Sicherung lässt den Testlauf sichtbar fehlschlagen | **bestanden** — `TestRunDatabaseTest_DetectsCorruptedBackup`: `base.tar.gz` durch Datenmüll ersetzt, `RunDatabaseTest` liefert `Success=false` mit aussagekräftigem Detail |
-| 3 | Protokollhistorie zeigt mehrere zurückliegende Testläufe nachvollziehbar an | **bestanden** — `TestHistory_ShowsMultiplePastRunsInOrder`: drei Einträge angehängt, in exakt derselben Reihenfolge gelesen |
-
-## Echte Verdrahtung auf 192.168.1.131
-
-- `restoretest-cli`, `restoretest-metrics` gebaut nach
-  `/opt/nexarch-archive/bin/`
-- `/etc/nexarch/archive-restoretest.env` (0600)
-- `nexarch-archive-restoretest.timer` installiert/aktiviert (wöchentlich
-  So. 07:00 UTC), `nexarch-archive-restoretest-metrics.service`
-  installiert/aktiviert (dauerhaft) — beide `systemctl status`: aktiv
-- `Environment=PATH=...` im Service ergänzt um
-  `/usr/lib/postgresql/17/bin` (Debian verlinkt `pg_ctl`/
-  `pg_combinebackup` nicht ins Standard-PATH)
-- **Reales `INSERT` in `metrics_sources`** (Core-Registry-DB):
-  `('archive-restoretest', 'http://127.0.0.1:8091/metrics')`
-- **End-to-End über OPS-03 bestätigt**: `curl http://127.0.0.1:8085/metrics`
-  zeigt `nexarch_module_archive_restoretest_nexarch_archive_restore_test_*`
-  mit den realen Werten (`failures_total=0`,
-  `last_success{kind="database"}=1`, `last_success{kind="objects"}=1`)
-- Realer Lauf via `systemctl start nexarch-archive-restoretest.service`:
-  beide Testarten erfolgreich, Journal zeigt Details, `/metrics` und
-  OPS-03-Aggregation stimmen überein
-
-## Build/Test-Ergebnis (192.168.1.131, `make check`)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1 -count=1  -> 6/6 Pakete mit Tests ok (backup, objectbackup, reconcile, restore, restoretest, scrub), 0 Fehlschläge
-```
-
-Hinweis wie bei BAK-03: die Datenbank-Restore-Tests
-(`TestRunDatabaseTest_*`) brauchen `pg_ctl`/`pg_combinebackup` im PATH
-und laufen NICHT als root — separat als `postgres`-Systemnutzer
-verifiziert (7/7 `internal/restoretest`-Tests bestanden), im normalen
-root-`make check`-Lauf werden sie mit klarer Meldung übersprungen.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
-Pflichtprüfungen real erfüllt — sowohl testgetrieben als auch über einen
-echten, unbeaufsichtigten systemd-Lauf mit OPS-03/OPS-05-Sichtbarkeit
-nachgewiesen. Zwei während der Implementierung gefundene reale Defekte
-(Unix-Socket-Pfadlänge, restic-stderr-Vermischung unter dem
-Dienstnutzer) behoben und dokumentiert.

archive/docs/BAK-08-PRUEFPROTOKOLL.md

@@ -1,140 +0,0 @@
-# BAK-08 – Prüfprotokoll: Checksum-basierte Objekt-Integritätsprüfung
-
-Voraussetzungen BAK-05, FDN-04, FDN-09, OPS-05 – alle erledigt, siehe
-eigene Protokolle. Vor Start zwei offene Rückfragen geklärt (siehe unten).
-
-## Grundsatzentscheidung: eigener Zustand statt file_revisions.created_at
-
-`created_at` als Alterskriterium hätte immer dieselben "ältesten" Objekte
-gescrubbt und den Rest nie erreicht — kein echtes Rotationsverhalten.
-Stattdessen eigene Archive-Tabelle `scrub_state` (`storage_key` →
-`last_scrubbed_at`, `last_result`), Migration
-`migrations/0001_scrub_state.up.sql`. `internal/scrub.Sample` ist eine
-reine Funktion: nimmt BAK-05s `existing_in_storage` (deterministisch
-sortiert) entgegen, filtert Objekte innerhalb der konfigurierbaren
-Cooldown-Frist heraus, priorisiert danach nach `last_scrubbed_at`
-aufsteigend (nie geprüft = ältestmöglicher Wert), begrenzt auf die
-konfigurierte Stichprobengröße — kein Voll-Sort über den gesamten
-Bestand bei jedem Lauf (Nutzerhinweis zum Kostenfaktor bei 10⁵+
-Objekten: die WHERE-artige Cooldown-Filterung reduziert die Kandidatenmenge
-VOR der Sortierung, nur die Kandidaten selbst werden sortiert, nicht der
-komplette Bestand).
-
-## Nachtrag: zwei Rückfragen vor Implementierungsbeginn geklärt
-
-1. **OPS-05-Anbindung ist Pull, nicht Push.** OPS-05 (`internal/alerting`,
-   Core) ist real implementiert, aber Core OPS-03 scrapt `/metrics`-URLs
-   registrierter Module (`metrics_sources`-Tabelle in der Core-Registry-
-   DB, `SourceStore.RegisterSource`) — kein Push-API. Für BAK-08 daher
-   ein eigener, DAUERHAFT laufender Endpunkt (`cmd/scrub-metrics`,
-   getrennt vom Oneshot-`scrub-cli`, dessen Prozess nach jedem Lauf endet
-   und zum Scrape-Zeitpunkt nicht erreichbar wäre). Metrik als Counter
-   (`nexarch_archive_storage_integrity_failures_total`), monoton
-   steigend — kein Gauge, kein Rücksetzen bei behobenem Befund. Kein
-   Befund = Wert bleibt unverändert (kein Dauer-Alarm durch andauernden
-   "Fehler"-Zustand). Scope-Trennung gewahrt: `scrub-cli`/`scrub-metrics`
-   erzeugen selbst KEIN Alert-Objekt — Schwellwert/Drosselung bleiben
-   OPS-05-eigene Konfiguration (Alert-Regel wird separat über
-   `alerting.RuleStore.CreateRule` angelegt, nicht Teil dieses Tickets).
-   **CFG-04 war eine Verwechslung** (das ist die
-   Benachrichtigungs-Einstellungen-Oberfläche, ein anderes Ticket) — die
-   tatsächlich nötige "Config"-Aktion ist ein `INSERT` in
-   `metrics_sources` (Core-Registry-DB), kein UI/Ticket-Abhängigkeit.
-   Real ausgeführt (siehe „Echte Verdrahtung" unten).
-2. **Sampling-Kriterium.** Siehe Grundsatzentscheidung oben —
-   `scrub_state.last_scrubbed_at` statt `file_revisions.created_at`,
-   Cooldown-Filterung vor Sortierung, feste Stichprobengröße (Top-N,
-   deterministisch, keine Zufallsstichprobe — Nutzerpräferenz für
-   Reproduzierbarkeit im Protokoll).
-
-## Umsetzung
-
-- `migrations/0001_scrub_state.up.sql`/`.down.sql` — `scrub_state`,
-  `scrub_counters` (Einzelzeile, monotoner Zähler).
-- `internal/scrub.Sample` — reine Funktion, Cooldown-Filter + Alt-
-  Priorisierung + Stichprobenbegrenzung.
-- `internal/scrub.LoadLastScrubbed`/`MarkScrubbed`/`RecordFinding`/
-  `FindingsTotal` — DB-Zugriff auf `scrub_state`/`scrub_counters`,
-  `MarkScrubbed` idempotent (`ON CONFLICT`) für unterbrechbare Läufe.
-- `internal/scrub.ExpectedChecksums` — eigene, minimale Abfrage gegen
-  `file_revisions` (keine Erweiterung von `reconcile.DBEntry` — BAK-05
-  bleibt existenz-only).
-- `internal/scrub.ActualChecksum` — echtes Lesen der Datei + SHA-256,
-  kein Header-/Größenvergleich.
-- `cmd/scrub-cli` — Oneshot: BAK-05-Reconcile → `Sample` → pro Kandidat
-  Checksum-Vergleich → `MarkScrubbed` + bei Abweichung `RecordFinding` →
-  JSON-Bericht auf stdout, Exit-Code 1 bei Befunden (gemeldet, nicht
-  automatisch repariert).
-- `cmd/scrub-metrics` — dauerhafter `/metrics`-Endpunkt, liest
-  `scrub_counters.findings_total`.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Absichtlich veränderter Objektinhalt wird als Abweichung erkannt | **bestanden** — real: Testobjekt mit absichtlich falscher `checksum_sha256` in `dms_tenant_test` angelegt, echte Datei ins Storage-Verzeichnis gelegt, `scrub-cli` real über systemd ausgelöst: Befund im JSON-Bericht, Exit-Code 1, `scrub_counters.findings_total` real von 0 auf 1 erhöht (siehe Journal-Auszug unten) |
-| 2 | Sampling priorisiert alte/nie geprüfte Objekte, nicht neue | **bestanden** — `TestSample_PrioritizesNeverScrubbedAndOldest`: nie geprüftes Objekt kommt vor einem vor 30 Tagen geprüften, dieses vor einem vor 1 Tag geprüften |
-| 3 | Wiederholter Lauf ohne neue Objekte meldet nichts erneut (kein Spam) / idempotent bei Unterbrechung | **bestanden** — real: zweiter `scrub-cli`-Lauf direkt nach dem ersten liefert `sampled: 0` (Cooldown greift), `TestMarkScrubbed_IsIdempotent` beweist wiederholtes Markieren ohne Duplikat |
-
-Zusätzlich: `TestSample_RespectsCooldown`,
-`TestSample_LimitsToSampleSize`, `TestSample_DeterministicForIdenticalInput`,
-`TestRecordFinding_IsMonotonicallyIncreasing`,
-`TestActualChecksum_MatchesRealFileContent` (echter Dateiinhalt, echtes
-SHA-256), `TestExpectedChecksums_ReadsRealFileRevisions` (echtes
-Postgres, kein Mock).
-
-## Echte Verdrahtung auf 192.168.1.131
-
-- `scrub-cli`, `scrub-metrics` gebaut nach `/opt/nexarch-archive/bin/`
-- `/etc/nexarch/archive-scrub.env`, `/etc/nexarch/archive-scrub-metrics.env`
-  (0600)
-- Migration real gegen `dms_tenant_test` angewendet
-  (`psql -f migrations/0001_scrub_state.up.sql`)
-- `nexarch-archive-scrub.timer` installiert/aktiviert (täglich 06:00
-  UTC), `nexarch-archive-scrub-metrics.service` installiert/aktiviert
-  (dauerhaft, `Restart=on-failure`) — beide `systemctl status`: aktiv
-- **Reales `INSERT` in `metrics_sources`** (Core-Registry-DB
-  `nexarch_registry`): `('archive', 'http://127.0.0.1:8090/metrics')` —
-  bestätigt über `SELECT * FROM metrics_sources`
-- **End-to-End über OPS-03 bestätigt**: `curl http://127.0.0.1:8085/metrics`
-  (Core-Aggregator) zeigt `nexarch_module_archive_nexarch_archive_storage_integrity_failures_total`
-  — reale Umbenennung gemäß OPS-03-Namenskonvention, kein synthetischer
-  Wert
-- Realer Befund-Durchlauf: Testobjekt mit absichtlich falscher Prüfsumme
-  angelegt → `scrub-cli` real via `systemctl start` ausgelöst → Befund im
-  Journal, `scrub_counters.findings_total` real 0→1, sichtbar sowohl auf
-  `scrub-metrics` als auch über den Core-Aggregator → Testdaten
-  anschließend bereinigt (`file_revisions`/`documents`/`users`-Zeilen
-  gelöscht, `scrub_state`/`scrub_counters` zurückgesetzt, Testdatei
-  entfernt)
-
-## Build/Test-Ergebnis (192.168.1.131, `make check`)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1 -count=1  -> 4/4 Pakete mit Tests ok (internal/backup, internal/objectbackup, internal/reconcile, internal/scrub), 0 Fehlschläge
-```
-
-`internal/scrub`-Tests separat mit gesetzter `TEST_TENANT_DSN` gegen
-`dms_tenant_test` verifiziert: 8/8 Tests bestanden.
-
-## Bekannte Grenze (aus Ticket übernommen, nicht Teil der Abnahme)
-
-Der Job erkennt Abweichungen nur bei Objekten, die gelesen und erneut
-geprüft werden können. Ersetzt keine storage-seitige WORM-/
-Versionierungsstrategie und keine Zugriffs-/Audit-Logs des
-Storage-Providers (`STORAGE-KONZEPT.md` Abschnitt 6.1) — bei extern
-eingebundenem, nicht-kompatiblem Kunden-Storage (Betriebsmodus 3, ohne
-Versioning/Object Lock/Audit-Logs) bleibt eine Lücke, die BAK-08
-technisch nicht schließen kann.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle sechs Akzeptanzkriterien und alle drei Pflicht-
-prüfungen real erfüllt — inklusive echtem Ende-zu-Ende-Nachweis über
-Core OPS-03/OPS-05 (kein Stub, reale `/metrics`-Registrierung und
--Aggregation). Beide vor Implementierungsbeginn gestellten Rückfragen
-(OPS-05-Anbindungsmechanismus, Sampling-Kriterium) im Protokoll
-dokumentiert und in der Umsetzung berücksichtigt.

archive/go.mod

@@ -1,14 +0,0 @@
-module gitea.perlbach24.de/scripte/nexarch/archive
-
-go 1.22
-
-require github.com/jackc/pgx/v5 v5.6.0
-
-require (
-	github.com/jackc/pgpassfile v1.0.0 // indirect
-	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
-	github.com/jackc/puddle/v2 v2.2.1 // indirect
-	golang.org/x/crypto v0.17.0 // indirect
-	golang.org/x/sync v0.1.0 // indirect
-	golang.org/x/text v0.14.0 // indirect
-)

archive/go.sum

@@ -1,28 +0,0 @@
-github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
-github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
-github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
-github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
-github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
-github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
-github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a/go.mod h1:5TJZWKEWniPve33vlWYSoGYefn3gLQRzjfDlhSJ9ZKM=
-github.com/jackc/pgx/v5 v5.6.0 h1:SWJzexBzPL5jb0GEsrPMLIsi/3jOo7RHlzTjcAeDrPY=
-github.com/jackc/pgx/v5 v5.6.0/go.mod h1:DNZ/vlrUnhWCoFGxHAG8U2ljioxukquj7utPDgtQdTw=
-github.com/jackc/puddle/v2 v2.2.1 h1:RhxXJtFG022u4ibrCSMSiu5aOq1i77R3OHKNJj77OAk=
-github.com/jackc/puddle/v2 v2.2.1/go.mod h1:vriiEXHvEE654aYKXXjOvZM39qJ0q+azkZFrfEOc3H4=
-github.com/pmezard/go-difflib v1.0.0 h1:4DBwDE0NGyQoBHbLQYPwSUPoCMWR5BEzIk/f1lZbAQM=
-github.com/pmezard/go-difflib v1.0.0/go.mod h1:iKH77koFhYxTK1pcRnkKkqfTogsbg7gZNVY4sRDYZ/4=
-github.com/stretchr/objx v0.1.0/go.mod h1:HFkY916IF+rwdDfMAkV7OtwuqBVzrE8GR6GFx+wExME=
-github.com/stretchr/testify v1.3.0/go.mod h1:M5WIy9Dh21IEIfnGCwXGc5bZfKNJtfHm1UVUgZn+9EI=
-github.com/stretchr/testify v1.7.0/go.mod h1:6Fq8oRcR53rry900zMqJjRRixrwX3KX962/h/Wwjteg=
-github.com/stretchr/testify v1.8.1 h1:w7B6lhMri9wdJUVmEZPGGhZzrYTPvgJArz7wNPgYKsk=
-github.com/stretchr/testify v1.8.1/go.mod h1:w2LPCIKwWwSfY2zedu0+kehJoqGctiVI29o6fzry7u4=
-golang.org/x/crypto v0.17.0 h1:r8bRNjWL3GshPW3gkd+RpvzWrZAwPS49OmTGZ/uhM4k=
-golang.org/x/crypto v0.17.0/go.mod h1:gCAAfMLgwOJRpTjQ2zCCt2OcSfYMTeZVSRtQlPC7Nq4=
-golang.org/x/sync v0.1.0 h1:wsuoTGHzEhffawBOhz5CYhcrV4IdKZbEyZjBMuTp12o=
-golang.org/x/sync v0.1.0/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
-golang.org/x/text v0.14.0 h1:ScX5w1eTa3QqT8oi6+ziP7dTV1S2+ALU0bI+0zXKWiQ=
-golang.org/x/text v0.14.0/go.mod h1:18ZOQIKpY8NJVqYksKHtTdi31H5itFRjB5/qKTNYzSU=
-gopkg.in/check.v1 v0.0.0-20161208181325-20d25e280405/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
-gopkg.in/yaml.v3 v3.0.0-20200313102051-9f266ea9e77c/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=
-gopkg.in/yaml.v3 v3.0.1 h1:fxVm/GzAzEWqLHuvctI91KS9hhNmmWOoWu0XTYJS7CA=
-gopkg.in/yaml.v3 v3.0.1/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=

archive/internal/backup/backup.go

@@ -1,199 +0,0 @@
-// Package backup implementiert BAK-01: automatisierte, inkrementelle
-// Sicherung der PostgreSQL-Datenbank per pg_basebackup (PostgreSQL 17s
-// natives inkrementelles Backup über WAL-Summarization, siehe
-// `summarize_wal`), mit Verifikation jeder Sicherung und
-// generationsbasierter Rotation. Kein pg_dump-basierter Ansatz, weil
-// pg_dump ausschließlich logische Vollsicherungen kennt — "inkrementell"
-// im Sinne des Tickets erfordert das physische, WAL-summary-gestützte
-// Verfahren aus PostgreSQL 17.
-package backup
-
-import (
-	"context"
-	"fmt"
-	"os"
-	"os/exec"
-	"path/filepath"
-	"sort"
-	"time"
-)
-
-// Config enthält die Verbindungsdaten für pg_basebackup — ausschließlich
-// über Umgebungsvariablen befüllt, nie im Code (siehe Ticket-Abschluss-
-// Regel).
-type Config struct {
-	Host                string
-	Port                string
-	User                string
-	Password            string
-	BackupDir           string
-	PgBaseBackupPath    string // Default "pg_basebackup", überschreibbar für Tests
-	PgCombineBackupPath string // Default "pg_combinebackup", überschreibbar für Tests
-}
-
-func (c Config) binary() string {
-	if c.PgBaseBackupPath != "" {
-		return c.PgBaseBackupPath
-	}
-	return "pg_basebackup"
-}
-
-// FullBackupDirName/IncrementalDirName sind die festen Unterverzeichnis-
-// namen je Generation.
-const (
-	FullBackupDirName  = "full"
-	IncrementalSubdir  = "incremental"
-	BackupManifestFile = "backup_manifest"
-	BaseTarGzFile      = "base.tar.gz"
-	// WalTarGzFile: pg_basebackups Standard-WAL-Methode ist "stream" (WAL
-	// wird waehrend der Sicherung parallel mitgestreamt) - bei -Ft/-z
-	// landet dieser Strom in einer EIGENEN Archivdatei neben base.tar.gz.
-	// Ohne dieses WAL ist die Sicherung NICHT crash-konsistent
-	// wiederherstellbar (Postgres kann sonst keinen gueltigen Checkpoint
-	// erreichen) - siehe Restore.
-	WalTarGzFile = "pg_wal.tar.gz"
-)
-
-// NewGenerationID liefert eine sortierbare, eindeutige Generation-Kennung
-// (RFC3339-artig, dateisystemtauglich) — Generationen werden anhand dieser
-// Kennung chronologisch sortiert (Rotate, ListGenerations).
-func NewGenerationID(t time.Time) string {
-	return t.UTC().Format("20060102T150405Z")
-}
-
-// FullBackup erstellt eine neue Vollsicherung (Akzeptanzkriterium 1) als
-// eigene Generation. Liefert den Pfad zum backup_manifest, das spätere
-// IncrementalBackup-Aufrufe als Referenz brauchen.
-func FullBackup(ctx context.Context, cfg Config, generationID string) (manifestPath string, err error) {
-	dir := filepath.Join(cfg.BackupDir, generationID, FullBackupDirName)
-	if err := os.MkdirAll(filepath.Dir(dir), 0o750); err != nil {
-		return "", fmt.Errorf("backup: generationsverzeichnis anlegen: %w", err)
-	}
-
-	args := []string{
-		"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User,
-		"-D", dir, "-Ft", "-z", "--checkpoint=fast", "--no-password",
-	}
-	if err := runPgBaseBackup(ctx, cfg, args); err != nil {
-		return "", fmt.Errorf("backup: vollsicherung: %w", err)
-	}
-	return filepath.Join(dir, BackupManifestFile), nil
-}
-
-// IncrementalBackup erstellt eine inkrementelle Sicherung gegen die zuletzt
-// bekannte Vollsicherung ODER die letzte Inkrement-Sicherung (priorManifestPath
-// zeigt jeweils auf das backup_manifest der Referenz).
-func IncrementalBackup(ctx context.Context, cfg Config, generationID, incrementID, priorManifestPath string) (manifestPath string, err error) {
-	dir := filepath.Join(cfg.BackupDir, generationID, IncrementalSubdir, incrementID)
-	if err := os.MkdirAll(filepath.Dir(dir), 0o750); err != nil {
-		return "", fmt.Errorf("backup: inkrement-verzeichnis anlegen: %w", err)
-	}
-
-	args := []string{
-		"-h", cfg.Host, "-p", cfg.Port, "-U", cfg.User,
-		"-D", dir, "-Ft", "-z", "--checkpoint=fast", "--no-password",
-		"--incremental=" + priorManifestPath,
-	}
-	if err := runPgBaseBackup(ctx, cfg, args); err != nil {
-		return "", fmt.Errorf("backup: inkrementelle sicherung: %w", err)
-	}
-	return filepath.Join(dir, BackupManifestFile), nil
-}
-
-// Restore kombiniert die Vollsicherung einer Generation mit allen ihren
-// Inkrementen (PostgreSQL 17s `pg_combinebackup`, das native Gegenstück zu
-// `pg_basebackup --incremental`) und schreibt das Ergebnis nach outputDir —
-// ein vollständiges, direkt startbares PGDATA-Verzeichnis. outputDir muss
-// bereits existieren und leer sein (pg_combinebackup-Vorgabe); Atomarität
-// gegenüber einem eventuell nicht-leeren ENDZIEL ist Aufgabe von
-// internal/restore, nicht dieser Funktion.
-//
-// pg_combinebackup erwartet PLAIN-Format-Eingabeverzeichnisse (Dateibaum),
-// FullBackup/IncrementalBackup speichern aber TAR+GZIP (`-Ft -z`, siehe
-// dort) — kleinere, einfacher zu prüfende Sicherungsdateien
-// (BAK-01-Entscheidung, hier NICHT verändert). Restore extrahiert daher
-// jede Stufe zunächst in ein eigenes temporäres Plain-Verzeichnis, bevor
-// pg_combinebackup darauf zugreift.
-func Restore(ctx context.Context, cfg Config, generationID, outputDir string) error {
-	genDir := filepath.Join(cfg.BackupDir, generationID)
-	tarDirs := []string{filepath.Join(genDir, FullBackupDirName)}
-
-	incrDir := filepath.Join(genDir, IncrementalSubdir)
-	entries, err := os.ReadDir(incrDir)
-	if err != nil && !os.IsNotExist(err) {
-		return fmt.Errorf("backup: inkrement-verzeichnis lesen: %w", err)
-	}
-	incrementIDs := make([]string, 0, len(entries))
-	for _, e := range entries {
-		if e.IsDir() {
-			incrementIDs = append(incrementIDs, e.Name())
-		}
-	}
-	sort.Strings(incrementIDs) // Inkrement-IDs sind wie Generation-IDs chronologisch sortierbar
-	for _, id := range incrementIDs {
-		tarDirs = append(tarDirs, filepath.Join(incrDir, id))
-	}
-
-	extractRoot, err := os.MkdirTemp("", "backup-restore-extract-*")
-	if err != nil {
-		return fmt.Errorf("backup: extraktions-verzeichnis anlegen: %w", err)
-	}
-	defer func() { _ = os.RemoveAll(extractRoot) }()
-
-	inputs := make([]string, 0, len(tarDirs))
-	for i, tarDir := range tarDirs {
-		plainDir := filepath.Join(extractRoot, fmt.Sprintf("%02d", i))
-		if err := os.MkdirAll(plainDir, 0o700); err != nil {
-			return fmt.Errorf("backup: plain-verzeichnis anlegen: %w", err)
-		}
-		if err := extractTarGz(filepath.Join(tarDir, BaseTarGzFile), plainDir); err != nil {
-			return fmt.Errorf("backup: %q extrahieren: %w", tarDir, err)
-		}
-		// backup_manifest liegt NEBEN base.tar.gz (von pg_basebackup so
-		// geschrieben), nicht im Archiv selbst - pg_combinebackup braucht
-		// es zusätzlich im Plain-Verzeichnis.
-		manifestData, err := os.ReadFile(filepath.Join(tarDir, BackupManifestFile))
-		if err != nil {
-			return fmt.Errorf("backup: %q lesen: %w", filepath.Join(tarDir, BackupManifestFile), err)
-		}
-		if err := os.WriteFile(filepath.Join(plainDir, BackupManifestFile), manifestData, 0o600); err != nil {
-			return fmt.Errorf("backup: manifest nach %q kopieren: %w", plainDir, err)
-		}
-		inputs = append(inputs, plainDir)
-	}
-
-	binary := "pg_combinebackup"
-	if cfg.PgCombineBackupPath != "" {
-		binary = cfg.PgCombineBackupPath
-	}
-	args := append(append([]string{}, inputs...), "-o", outputDir)
-	cmd := exec.CommandContext(ctx, binary, args...)
-	output, err := cmd.CombinedOutput()
-	if err != nil {
-		return fmt.Errorf("backup: %s fehlgeschlagen: %w (ausgabe: %s)", binary, err, string(output))
-	}
-
-	// pg_combinebackup rekonstruiert nur die Datendateien - das fuer einen
-	// konsistenten Start noetige WAL kommt aus der ZULETZT gezogenen Stufe
-	// (letztes Inkrement, sonst die Vollsicherung), nicht aus allen Stufen
-	// zusammen (siehe WalTarGzFile-Dokumentation).
-	lastTarDir := tarDirs[len(tarDirs)-1]
-	walDir := filepath.Join(outputDir, "pg_wal")
-	if err := os.MkdirAll(walDir, 0o700); err != nil {
-		return fmt.Errorf("backup: pg_wal-verzeichnis anlegen: %w", err)
-	}
-	if err := extractTarGz(filepath.Join(lastTarDir, WalTarGzFile), walDir); err != nil {
-		return fmt.Errorf("backup: WAL aus %q wiederherstellen: %w", lastTarDir, err)
-	}
-	return nil
-}
-
-func runPgBaseBackup(ctx context.Context, cfg Config, args []string) error {
-	cmd := exec.CommandContext(ctx, cfg.binary(), args...)
-	cmd.Env = append(os.Environ(), "PGPASSWORD="+cfg.Password)
-	output, err := cmd.CombinedOutput()
-	if err != nil {
-		return fmt.Errorf("%s fehlgeschlagen: %w (ausgabe: %s)", cfg.binary(), err, string(output))
-	}
-	return nil
-}

archive/internal/backup/backup_test.go

@@ -1,187 +0,0 @@
-package backup
-
-import (
-	"context"
-	"os"
-	"path/filepath"
-	"testing"
-	"time"
-)
-
-func requireTestConfig(t *testing.T) Config {
-	t.Helper()
-	user := os.Getenv("TEST_BACKUP_PG_USER")
-	if user == "" {
-		t.Skip("TEST_BACKUP_PG_USER nicht gesetzt, Integrationstest uebersprungen (braucht echten Postgres mit REPLICATION-Rolle)")
-	}
-	return Config{
-		Host:      envOr("TEST_BACKUP_PG_HOST", "localhost"),
-		Port:      envOr("TEST_BACKUP_PG_PORT", "5432"),
-		User:      user,
-		Password:  os.Getenv("TEST_BACKUP_PG_PASSWORD"),
-		BackupDir: t.TempDir(),
-	}
-}
-
-func envOr(key, fallback string) string {
-	if v := os.Getenv(key); v != "" {
-		return v
-	}
-	return fallback
-}
-
-// TestFullBackup_CreatesVerifiedBackup ist Pruefung 1: Sicherung gegen
-// Testdatenbank erfolgreich erstellt und verifiziert.
-func TestFullBackup_CreatesVerifiedBackup(t *testing.T) {
-	cfg := requireTestConfig(t)
-	ctx := context.Background()
-
-	genID := NewGenerationID(time.Now())
-	manifest, err := FullBackup(ctx, cfg, genID)
-	if err != nil {
-		t.Fatalf("fullbackup: %v", err)
-	}
-	if _, err := os.Stat(manifest); err != nil {
-		t.Fatalf("backup_manifest fehlt: %v", err)
-	}
-
-	dir := filepath.Dir(manifest)
-	if _, err := os.Stat(filepath.Join(dir, BaseTarGzFile)); err != nil {
-		t.Fatalf("%s fehlt: %v", BaseTarGzFile, err)
-	}
-
-	if err := Verify(dir); err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-}
-
-// TestIncrementalBackup_IsSmallerThanFull ist der Nachweis fuer
-// Akzeptanzkriterium 1 (inkrementell): eine echte inkrementelle Sicherung
-// gegen unveraenderten Bestand ist deutlich kleiner als die Vollsicherung —
-// beweist, dass tatsaechlich nur Aenderungen uebertragen wurden (PostgreSQL
-// 17 WAL-Summarization), nicht nochmal alles.
-func TestIncrementalBackup_IsSmallerThanFull(t *testing.T) {
-	cfg := requireTestConfig(t)
-	ctx := context.Background()
-
-	genID := NewGenerationID(time.Now())
-	fullManifest, err := FullBackup(ctx, cfg, genID)
-	if err != nil {
-		t.Fatalf("fullbackup: %v", err)
-	}
-	fullDir := filepath.Dir(fullManifest)
-	fullSize := fileSize(t, filepath.Join(fullDir, BaseTarGzFile))
-
-	incID := NewGenerationID(time.Now().Add(time.Second))
-	incManifest, err := IncrementalBackup(ctx, cfg, genID, incID, fullManifest)
-	if err != nil {
-		t.Fatalf("incrementalbackup: %v", err)
-	}
-	incDir := filepath.Dir(incManifest)
-	if err := Verify(incDir); err != nil {
-		t.Fatalf("verify (inkrementell): %v", err)
-	}
-	incSize := fileSize(t, filepath.Join(incDir, BaseTarGzFile))
-
-	if incSize >= fullSize {
-		t.Fatalf("inkrementelle sicherung (%d bytes) ist nicht kleiner als die vollsicherung (%d bytes) - keine echte inkrementelle Uebertragung", incSize, fullSize)
-	}
-}
-
-func fileSize(t *testing.T, path string) int64 {
-	t.Helper()
-	info, err := os.Stat(path)
-	if err != nil {
-		t.Fatalf("dateigroesse von %q ermitteln: %v", path, err)
-	}
-	return info.Size()
-}
-
-// TestVerify_DetectsCorruptedFile ist Pruefung 2: Verifikation erkennt eine
-// absichtlich beschaedigte Sicherungsdatei.
-func TestVerify_DetectsCorruptedFile(t *testing.T) {
-	cfg := requireTestConfig(t)
-	ctx := context.Background()
-
-	genID := NewGenerationID(time.Now())
-	manifest, err := FullBackup(ctx, cfg, genID)
-	if err != nil {
-		t.Fatalf("fullbackup: %v", err)
-	}
-	dir := filepath.Dir(manifest)
-
-	if err := Verify(dir); err != nil {
-		t.Fatalf("verify (unbeschaedigt) haette erfolgreich sein muessen: %v", err)
-	}
-
-	// Absichtliche Beschaedigung: mehrere Bytes in der Mitte der Datei kippen.
-	path := filepath.Join(dir, BaseTarGzFile)
-	data, err := os.ReadFile(path)
-	if err != nil {
-		t.Fatalf("sicherungsdatei lesen: %v", err)
-	}
-	mid := len(data) / 2
-	for i := mid; i < mid+64 && i < len(data); i++ {
-		data[i] ^= 0xFF
-	}
-	if err := os.WriteFile(path, data, 0o600); err != nil {
-		t.Fatalf("beschaedigte sicherungsdatei schreiben: %v", err)
-	}
-
-	if err := Verify(dir); err == nil {
-		t.Fatal("verify haette die beschaedigte sicherungsdatei erkennen muessen")
-	}
-}
-
-// TestRotate_RemovesOnlyOldestGenerations ist Pruefung 3.
-func TestRotate_RemovesOnlyOldestGenerations(t *testing.T) {
-	backupDir := t.TempDir()
-	generationIDs := []string{
-		"20260101T000000Z",
-		"20260102T000000Z",
-		"20260103T000000Z",
-		"20260104T000000Z",
-		"20260105T000000Z",
-	}
-	for _, id := range generationIDs {
-		if err := os.MkdirAll(filepath.Join(backupDir, id, FullBackupDirName), 0o750); err != nil {
-			t.Fatalf("generation %q anlegen: %v", id, err)
-		}
-	}
-
-	removed, err := Rotate(backupDir, 2)
-	if err != nil {
-		t.Fatalf("rotate: %v", err)
-	}
-	wantRemoved := []string{"20260101T000000Z", "20260102T000000Z", "20260103T000000Z"}
-	if len(removed) != len(wantRemoved) {
-		t.Fatalf("entfernte generationen = %v, want %v", removed, wantRemoved)
-	}
-	for i, w := range wantRemoved {
-		if removed[i] != w {
-			t.Fatalf("entfernte generationen = %v, want %v", removed, wantRemoved)
-		}
-	}
-
-	remaining, err := ListGenerations(backupDir)
-	if err != nil {
-		t.Fatalf("listgenerations: %v", err)
-	}
-	wantRemaining := []string{"20260104T000000Z", "20260105T000000Z"}
-	if len(remaining) != len(wantRemaining) {
-		t.Fatalf("verbleibende generationen = %v, want %v", remaining, wantRemaining)
-	}
-	for i, w := range wantRemaining {
-		if remaining[i] != w {
-			t.Fatalf("verbleibende generationen = %v, want %v", remaining, wantRemaining)
-		}
-	}
-
-	// Die NEUESTEN duerfen NICHT entfernt sein (Pruefung 3: nur die
-	// aeltesten Generationen).
-	for _, w := range wantRemaining {
-		if _, err := os.Stat(filepath.Join(backupDir, w)); err != nil {
-			t.Fatalf("neueste generation %q wurde faelschlich entfernt: %v", w, err)
-		}
-	}
-}

archive/internal/backup/restore_test.go

@@ -1,102 +0,0 @@
-package backup
-
-import (
-	"context"
-	"fmt"
-	"os"
-	"os/exec"
-	"path/filepath"
-	"strings"
-	"testing"
-	"time"
-)
-
-// TestRestore_CombinesIntoStartablePostgresInstance ist Pruefung 1 fuer
-// BAK-03 (Datenbank-Teil): Restore auf leerem System vollstaendig und
-// erfolgreich durchgefuehrt — real bewiesen, indem das wiederhergestellte
-// Verzeichnis tatsaechlich als eigenstaendige Postgres-Instanz gestartet
-// und per echter Verbindung abgefragt wird, nicht nur auf Dateiexistenz
-// geprueft.
-func TestRestore_CombinesIntoStartablePostgresInstance(t *testing.T) {
-	cfg := requireTestConfig(t)
-	ctx, cancel := context.WithTimeout(context.Background(), 60*time.Second)
-	defer cancel()
-
-	if _, err := exec.LookPath("pg_combinebackup"); err != nil {
-		t.Skip("pg_combinebackup nicht installiert, restore-integrationstest uebersprungen")
-	}
-	pgCtl, err := exec.LookPath("pg_ctl")
-	if err != nil {
-		t.Skip("pg_ctl nicht installiert, restore-integrationstest uebersprungen")
-	}
-
-	genID := NewGenerationID(time.Now())
-	if _, err := FullBackup(ctx, cfg, genID); err != nil {
-		t.Fatalf("fullbackup: %v", err)
-	}
-
-	restoreOut := filepath.Join(t.TempDir(), "restored-pgdata")
-	if err := os.MkdirAll(restoreOut, 0o700); err != nil {
-		t.Fatal(err)
-	}
-	if err := Restore(ctx, cfg, genID, restoreOut); err != nil {
-		t.Fatalf("restore: %v", err)
-	}
-	if _, err := os.Stat(filepath.Join(restoreOut, "PG_VERSION")); err != nil {
-		t.Fatalf("wiederhergestelltes verzeichnis ist kein gueltiges PGDATA (PG_VERSION fehlt): %v", err)
-	}
-
-	// Auf diesem Debian-Postgres liegt postgresql.conf NICHT in PGDATA
-	// (sondern in /etc/postgresql/17/main/) - pg_basebackup sichert daher
-	// nur PGDATA-Inhalte, die Konfigurationsdatei fehlt im Restore
-	// GENAUSO wie im echten Betriebs-Restore-Verfahren. Fuer den
-	// End-zu-End-Nachweis (echte Daten wiederherstellbar) hier eine
-	// minimale, ausschliesslich fuer den Testlauf gueltige Konfiguration
-	// nachgereicht - dokumentiert als operativer Hinweis fuer ein echtes
-	// Restore-Runbook, nicht Teil des Produktcodes.
-	minimalConf := "listen_addresses = ''\n"
-	if err := os.WriteFile(filepath.Join(restoreOut, "postgresql.conf"), []byte(minimalConf), 0o600); err != nil {
-		t.Fatal(err)
-	}
-	// dito pg_hba.conf - liegt auf Debian ebenfalls in /etc/postgresql,
-	// nicht in PGDATA. Nur Unix-Socket-Verbindungen des lokalen Testlaufs
-	// erlaubt (kein TCP, dieselbe Isolation wie listen_addresses='').
-	hba := "local all all trust\n"
-	if err := os.WriteFile(filepath.Join(restoreOut, "pg_hba.conf"), []byte(hba), 0o600); err != nil {
-		t.Fatal(err)
-	}
-
-	// Konfigurationsdateien aus der Quellinstanz brachte pg_basebackup mit
-	// (sie enthalten ggf. den alten Port/Unix-Socket) - fuer diesen Test
-	// bewusst neuer Port und eigenes Socket-Verzeichnis, damit die
-	// wiederhergestellte Instanz nicht mit der laufenden Test-Instanz
-	// kollidiert.
-	socketDir := t.TempDir()
-	testPort := "55432"
-	// WICHTIG: pg_ctl start foerdert postgres als Hintergrundprozess, der
-	// die geerbten stdout/stderr-Pipes NICHT schliesst - CombinedOutput()
-	// (das auf ein Pipe-EOF wartet) haengt sich daher auf, obwohl pg_ctl
-	// selbst laengst zurueckgekehrt ist. Deshalb echte Logdatei statt Pipe
-	// (Standard-pg_ctl-Muster), kein exec.Cmd.Stdout/-Stderr-Pipe-Zugriff.
-	logFile := filepath.Join(t.TempDir(), "postgres.log")
-	startCmd := exec.CommandContext(ctx, pgCtl, "start", "-D", restoreOut, "-w", "-t", "30", "-l", logFile,
-		"-o", fmt.Sprintf("-p %s -k %s -c listen_addresses=''", testPort, socketDir))
-	if err := startCmd.Run(); err != nil {
-		logContent, _ := os.ReadFile(logFile)
-		t.Fatalf("pg_ctl start (wiederhergestellte instanz): %v (log: %s)", err, string(logContent))
-	}
-	defer func() {
-		stopCmd := exec.Command(pgCtl, "stop", "-D", restoreOut, "-m", "fast")
-		_ = stopCmd.Run()
-	}()
-
-	psqlOut, err := exec.CommandContext(ctx, "psql",
-		"-h", socketDir, "-p", testPort, "-U", cfg.User, "-d", "postgres",
-		"-tAc", "SELECT 1").CombinedOutput()
-	if err != nil {
-		t.Fatalf("echte verbindung zur wiederhergestellten instanz fehlgeschlagen: %v (ausgabe: %s)", err, string(psqlOut))
-	}
-	if strings.TrimSpace(string(psqlOut)) != "1" {
-		t.Fatalf("unerwartete antwort von der wiederhergestellten instanz: %q", string(psqlOut))
-	}
-}

archive/internal/backup/rotate.go

@@ -1,56 +0,0 @@
-package backup
-
-import (
-	"fmt"
-	"os"
-	"path/filepath"
-	"sort"
-)
-
-// ListGenerations liefert alle Generation-IDs in backupDir, aufsteigend
-// sortiert (die GenerationID selbst ist chronologisch sortierbar, siehe
-// NewGenerationID — kein Blick auf Dateisystem-Zeitstempel nötig, die bei
-// einem Restore/Kopiervorgang verändert werden könnten).
-func ListGenerations(backupDir string) ([]string, error) {
-	entries, err := os.ReadDir(backupDir)
-	if err != nil {
-		if os.IsNotExist(err) {
-			return nil, nil
-		}
-		return nil, fmt.Errorf("backup: sicherungsverzeichnis lesen: %w", err)
-	}
-	var generations []string
-	for _, e := range entries {
-		if e.IsDir() {
-			generations = append(generations, e.Name())
-		}
-	}
-	sort.Strings(generations)
-	return generations, nil
-}
-
-// Rotate entfernt alle bis auf die `keep` NEUESTEN Generationen
-// (Akzeptanzkriterium 3) — jede Generation umfasst ihre Vollsicherung UND
-// alle davon abhängigen Inkremente, ein Löschen der gesamten
-// Generationsverzeichnisses entfernt beides konsistent zusammen.
-func Rotate(backupDir string, keep int) (removed []string, err error) {
-	if keep < 0 {
-		keep = 0
-	}
-	generations, err := ListGenerations(backupDir)
-	if err != nil {
-		return nil, err
-	}
-	if len(generations) <= keep {
-		return nil, nil
-	}
-
-	toRemove := generations[:len(generations)-keep]
-	for _, gen := range toRemove {
-		if err := os.RemoveAll(filepath.Join(backupDir, gen)); err != nil {
-			return removed, fmt.Errorf("backup: generation %q entfernen: %w", gen, err)
-		}
-		removed = append(removed, gen)
-	}
-	return removed, nil
-}

archive/internal/backup/verify.go

@@ -1,118 +0,0 @@
-package backup
-
-import (
-	"archive/tar"
-	"compress/gzip"
-	"fmt"
-	"io"
-	"os"
-	"path/filepath"
-)
-
-// ErrCorrupted wird geliefert, wenn eine Sicherungsdatei nicht lesbar ist
-// (Akzeptanzkriterium 2: Verifikation, nicht nur Erstellungs-Prüfung).
-var ErrCorrupted = fmt.Errorf("backup: sicherungsdatei ist beschaedigt oder unvollstaendig")
-
-// Verify prüft, dass base.tar.gz UND pg_wal.tar.gz im gegebenen
-// Sicherungsverzeichnis vollständig lesbar sind — öffnet gzip- UND
-// tar-Stream und liest JEDEN Eintrag bis zum Ende durch (nicht nur die
-// Kopfdaten), damit ein abgeschnittener oder mit kaputten Bytes
-// überschriebener Inhalt zuverlässig auffällt, nicht nur ein defekter
-// Tar-Header. pg_wal.tar.gz wird geprüft, weil ohne intaktes WAL kein
-// crash-konsistenter Restore möglich ist (siehe Restore/WalTarGzFile) —
-// eine Sicherung mit beschädigtem WAL-Archiv wäre sonst unbemerkt
-// unbrauchbar.
-func Verify(backupDir string) error {
-	if err := verifyTarGz(filepath.Join(backupDir, BaseTarGzFile)); err != nil {
-		return err
-	}
-	return verifyTarGz(filepath.Join(backupDir, WalTarGzFile))
-}
-
-func verifyTarGz(path string) error {
-	f, err := os.Open(path)
-	if err != nil {
-		return fmt.Errorf("%w: %s nicht lesbar: %v", ErrCorrupted, path, err)
-	}
-	defer func() { _ = f.Close() }()
-
-	gz, err := gzip.NewReader(f)
-	if err != nil {
-		return fmt.Errorf("%w: gzip-header von %s ungueltig: %v", ErrCorrupted, path, err)
-	}
-	defer func() { _ = gz.Close() }()
-
-	tr := tar.NewReader(gz)
-	entries := 0
-	for {
-		hdr, err := tr.Next()
-		if err == io.EOF {
-			break
-		}
-		if err != nil {
-			return fmt.Errorf("%w: tar-eintrag in %s ungueltig: %v", ErrCorrupted, path, err)
-		}
-		if _, err := io.Copy(io.Discard, tr); err != nil {
-			return fmt.Errorf("%w: inhalt von %q in %s nicht vollstaendig lesbar: %v", ErrCorrupted, hdr.Name, path, err)
-		}
-		entries++
-	}
-	if entries == 0 {
-		return fmt.Errorf("%w: %s enthaelt keine eintraege", ErrCorrupted, path)
-	}
-	return nil
-}
-
-// extractTarGz entpackt tarGzPath vollständig nach destDir — genutzt von
-// Restore, um die TAR+GZIP-Sicherungsstufen (siehe Verify) in das
-// PLAIN-Format zu überführen, das pg_combinebackup als Eingabe erwartet.
-func extractTarGz(tarGzPath, destDir string) error {
-	f, err := os.Open(tarGzPath)
-	if err != nil {
-		return fmt.Errorf("%s öffnen: %w", tarGzPath, err)
-	}
-	defer func() { _ = f.Close() }()
-
-	gz, err := gzip.NewReader(f)
-	if err != nil {
-		return fmt.Errorf("gzip-header ungueltig: %w", err)
-	}
-	defer func() { _ = gz.Close() }()
-
-	tr := tar.NewReader(gz)
-	for {
-		hdr, err := tr.Next()
-		if err == io.EOF {
-			break
-		}
-		if err != nil {
-			return fmt.Errorf("tar-eintrag lesen: %w", err)
-		}
-		target := filepath.Join(destDir, filepath.Clean(hdr.Name))
-		switch hdr.Typeflag {
-		case tar.TypeDir:
-			if err := os.MkdirAll(target, 0o750); err != nil {
-				return fmt.Errorf("verzeichnis %q anlegen: %w", target, err)
-			}
-		case tar.TypeReg:
-			if err := os.MkdirAll(filepath.Dir(target), 0o750); err != nil {
-				return fmt.Errorf("übergeordnetes verzeichnis von %q anlegen: %w", target, err)
-			}
-			out, err := os.OpenFile(target, os.O_CREATE|os.O_WRONLY|os.O_TRUNC, os.FileMode(hdr.Mode))
-			if err != nil {
-				return fmt.Errorf("datei %q anlegen: %w", target, err)
-			}
-			if _, err := io.Copy(out, tr); err != nil {
-				_ = out.Close()
-				return fmt.Errorf("datei %q schreiben: %w", target, err)
-			}
-			if err := out.Close(); err != nil {
-				return fmt.Errorf("datei %q schliessen: %w", target, err)
-			}
-		default:
-			// Symlinks/Sonderdateien: pg_basebackup-Archive enthalten
-			// praktisch keine, übersprungen statt Restore abzubrechen.
-		}
-	}
-	return nil
-}

archive/internal/objectbackup/restic.go

@@ -1,167 +0,0 @@
-// Package objectbackup implementiert BAK-02: automatisierte, inkrementelle,
-// deduplizierende Sicherung des Objekt-Storage-Bestands. Nutzt restic
-// (Content-defined Chunking, verschlüsseltes Repository ab Werk) statt
-// Eigenbau — restic erfüllt alle Akzeptanzkriterien mit ausgereiftem,
-// geprüftem Tooling statt einer weniger robusten Neuimplementierung.
-//
-// Backup-Quelle ist ein lokaler Verzeichnisbaum — für den LocalDriver aus
-// FDN-03 direkt dessen Basisverzeichnis, für S3-gestützte Produktions-
-// Deployments ein vorgelagerter Sync-Schritt (z.B. rclone) auf einen
-// lokalen Spiegel, bevor restic ihn sichert (nicht Bestandteil dieser
-// Kachel — restic selbst sichert Dateibäume, keine S3-Buckets direkt).
-package objectbackup
-
-import (
-	"context"
-	"encoding/json"
-	"fmt"
-	"os"
-	"os/exec"
-	"strings"
-)
-
-// Config enthält Repository-Ort und -Passwort — ausschließlich über
-// Umgebungsvariablen befüllt (siehe Ticket-Abschluss-Regel).
-type Config struct {
-	RepoDir    string
-	Password   string
-	ResticPath string // Default "restic", überschreibbar für Tests
-}
-
-func (c Config) binary() string {
-	if c.ResticPath != "" {
-		return c.ResticPath
-	}
-	return "restic"
-}
-
-func (c Config) env() []string {
-	return append(os.Environ(), "RESTIC_PASSWORD="+c.Password)
-}
-
-func run(ctx context.Context, cfg Config, args ...string) ([]byte, error) {
-	fullArgs := append([]string{"-r", cfg.RepoDir}, args...)
-	cmd := exec.CommandContext(ctx, cfg.binary(), fullArgs...)
-	cmd.Env = cfg.env()
-	output, err := cmd.CombinedOutput()
-	if err != nil {
-		return output, fmt.Errorf("%s %v fehlgeschlagen: %w (ausgabe: %s)", cfg.binary(), args, err, string(output))
-	}
-	return output, nil
-}
-
-// InitRepo legt ein neues restic-Repository an, falls es noch nicht
-// existiert — idempotent, ein bereits initialisiertes Repository ist kein
-// Fehler (Wiederholte Aufrufe durch systemd-Timer nach einem Neustart
-// dürfen nicht fehlschlagen).
-func InitRepo(ctx context.Context, cfg Config) error {
-	output, err := run(ctx, cfg, "init")
-	if err != nil {
-		if strings.Contains(string(output), "config file already exists") {
-			return nil
-		}
-		return fmt.Errorf("objectbackup: repository initialisieren: %w", err)
-	}
-	return nil
-}
-
-// BackupSummary ist der geparste "summary"-Datensatz aus `restic backup --json`.
-type BackupSummary struct {
-	SnapshotID      string `json:"snapshot_id"`
-	FilesNew        int    `json:"files_new"`
-	FilesChanged    int    `json:"files_changed"`
-	FilesUnmodified int    `json:"files_unmodified"`
-	DataBlobs       int    `json:"data_blobs"`
-	TotalBytes      int64  `json:"total_bytes_processed"`
-}
-
-// Backup sichert sourceDir inkrementell (Akzeptanzkriterium 1: unveränderte
-// Objekte werden nicht erneut übertragen — restics Content-defined
-// Chunking erkennt das automatisch, kein manueller Änderungsabgleich
-// nötig).
-func Backup(ctx context.Context, cfg Config, sourceDir string) (BackupSummary, error) {
-	output, err := run(ctx, cfg, "backup", sourceDir, "--json")
-	if err != nil {
-		return BackupSummary{}, fmt.Errorf("objectbackup: sicherung: %w", err)
-	}
-	return parseSummary(output)
-}
-
-// parseSummary sucht in der zeilenweisen JSON-Ausgabe von `restic backup
-// --json` (mehrere Fortschritts-/Statuszeilen, GENAU EINE mit
-// message_type=="summary") die Zusammenfassung.
-func parseSummary(output []byte) (BackupSummary, error) {
-	lines := strings.Split(strings.TrimSpace(string(output)), "\n")
-	for i := len(lines) - 1; i >= 0; i-- {
-		var probe struct {
-			MessageType string `json:"message_type"`
-		}
-		if err := json.Unmarshal([]byte(lines[i]), &probe); err != nil {
-			continue
-		}
-		if probe.MessageType == "summary" {
-			var summary BackupSummary
-			if err := json.Unmarshal([]byte(lines[i]), &summary); err != nil {
-				return BackupSummary{}, fmt.Errorf("objectbackup: summary-zeile dekodieren: %w", err)
-			}
-			return summary, nil
-		}
-	}
-	return BackupSummary{}, fmt.Errorf("objectbackup: keine summary-zeile in der restic-ausgabe gefunden")
-}
-
-// Check prüft die Vollständigkeit/Lesbarkeit des Repository
-// (Akzeptanzkriterium 3 / Pflichtprüfung: Vollständigkeitsprüfung erkennt
-// fehlendes/beschädigtes Objekt). readData=true liest jeden gespeicherten
-// Datenblock tatsächlich (teurer, aber die einzige Prüfung, die
-// Bit-Rot in bereits gespeicherten Paketen erkennt — ohne readData prüft
-// restic nur Struktur/Indizes, nicht den tatsächlichen Blockinhalt).
-func Check(ctx context.Context, cfg Config, readData bool) error {
-	args := []string{"check"}
-	if readData {
-		args = append(args, "--read-data")
-	}
-	if _, err := run(ctx, cfg, args...); err != nil {
-		return fmt.Errorf("objectbackup: %w", err)
-	}
-	return nil
-}
-
-// Forget entfernt alte Snapshots nach Rotationsregel und gibt den davon
-// belegten Speicherplatz frei (--prune) — restics Äquivalent zu
-// BAK-01s Rotate.
-func Forget(ctx context.Context, cfg Config, keepLast int) error {
-	if _, err := run(ctx, cfg, "forget", "--keep-last", fmt.Sprintf("%d", keepLast), "--prune"); err != nil {
-		return fmt.Errorf("objectbackup: rotation: %w", err)
-	}
-	return nil
-}
-
-// Restore stellt snapshotID nach targetDir wieder her (`restic restore`).
-// targetDir muss bereits existieren; Atomarität gegenüber einem eventuell
-// nicht-leeren ENDZIEL ist Aufgabe von internal/restore, nicht dieser
-// Funktion (dieselbe Aufgabenteilung wie backup.Restore).
-func Restore(ctx context.Context, cfg Config, snapshotID, targetDir string) error {
-	if _, err := run(ctx, cfg, "restore", snapshotID, "--target", targetDir); err != nil {
-		return fmt.Errorf("objectbackup: wiederherstellung: %w", err)
-	}
-	return nil
-}
-
-type snapshotEntry struct {
-	ShortID string `json:"short_id"`
-}
-
-// SnapshotCount liefert die Anzahl vorhandener Snapshots — für Tests und
-// Statusabfragen.
-func SnapshotCount(ctx context.Context, cfg Config) (int, error) {
-	output, err := run(ctx, cfg, "snapshots", "--json")
-	if err != nil {
-		return 0, fmt.Errorf("objectbackup: snapshots auflisten: %w", err)
-	}
-	var snapshots []snapshotEntry
-	if err := json.Unmarshal(output, &snapshots); err != nil {
-		return 0, fmt.Errorf("objectbackup: snapshot-liste dekodieren: %w", err)
-	}
-	return len(snapshots), nil
-}

archive/internal/objectbackup/restic_test.go

@@ -1,168 +0,0 @@
-package objectbackup
-
-import (
-	"context"
-	"os"
-	"os/exec"
-	"path/filepath"
-	"testing"
-)
-
-func requireRestic(t *testing.T) {
-	t.Helper()
-	if _, err := exec.LookPath("restic"); err != nil {
-		t.Skip("restic nicht installiert, Integrationstest uebersprungen")
-	}
-}
-
-func setupTest(t *testing.T) Config {
-	t.Helper()
-	requireRestic(t)
-	cfg := Config{RepoDir: filepath.Join(t.TempDir(), "repo"), Password: "test-passwort-fuer-objectbackup"}
-	if err := InitRepo(context.Background(), cfg); err != nil {
-		t.Fatalf("initrepo: %v", err)
-	}
-	return cfg
-}
-
-func writeFile(t *testing.T, dir, name, content string) {
-	t.Helper()
-	if err := os.WriteFile(filepath.Join(dir, name), []byte(content), 0o600); err != nil {
-		t.Fatalf("testdatei %q schreiben: %v", name, err)
-	}
-}
-
-// TestBackup_UnchangedSecondRunTransmitsNothingNew ist Pruefung 1:
-// zweiter Sicherungslauf nach unveraendertem Bestand ueberraegt keine
-// Daten erneut.
-func TestBackup_UnchangedSecondRunTransmitsNothingNew(t *testing.T) {
-	cfg := setupTest(t)
-	ctx := context.Background()
-	sourceDir := t.TempDir()
-	writeFile(t, sourceDir, "dokument.pdf", "unveraenderter inhalt")
-
-	first, err := Backup(ctx, cfg, sourceDir)
-	if err != nil {
-		t.Fatalf("erste sicherung: %v", err)
-	}
-	if first.FilesNew != 1 {
-		t.Fatalf("erste sicherung: files_new = %d, want 1", first.FilesNew)
-	}
-
-	second, err := Backup(ctx, cfg, sourceDir)
-	if err != nil {
-		t.Fatalf("zweite sicherung: %v", err)
-	}
-	if second.FilesNew != 0 || second.FilesChanged != 0 {
-		t.Fatalf("zweite sicherung (unveraendert): files_new=%d files_changed=%d, want beide 0", second.FilesNew, second.FilesChanged)
-	}
-	if second.FilesUnmodified != 1 {
-		t.Fatalf("zweite sicherung: files_unmodified = %d, want 1", second.FilesUnmodified)
-	}
-}
-
-// TestBackup_DeduplicatesIdenticalContent ist Pruefung 2: zwei identische
-// Testdateien belegen nachweislich nur einmal Speicherplatz.
-func TestBackup_DeduplicatesIdenticalContent(t *testing.T) {
-	cfg := setupTest(t)
-	ctx := context.Background()
-	sourceDir := t.TempDir()
-	content := "exakt identischer inhalt in beiden dateien fuer den dedup-nachweis"
-	writeFile(t, sourceDir, "original.pdf", content)
-	writeFile(t, sourceDir, "kopie.pdf", content)
-
-	summary, err := Backup(ctx, cfg, sourceDir)
-	if err != nil {
-		t.Fatalf("sicherung: %v", err)
-	}
-	if summary.FilesNew != 2 {
-		t.Fatalf("erwartet 2 neue dateien, habe %d", summary.FilesNew)
-	}
-	// Zwei Dateien mit IDENTISCHEM Inhalt duerfen nur EINEN data_blob
-	// erzeugen - das ist der Dedup-Nachweis (Akzeptanzkriterium 2).
-	if summary.DataBlobs != 1 {
-		t.Fatalf("data_blobs = %d, want 1 (zwei identische dateien haetten nur einen blob erzeugen duerfen - keine dedup)", summary.DataBlobs)
-	}
-}
-
-// TestCheck_DetectsCorruptedPack ist Pruefung 3: Vollstaendigkeitspruefung
-// erkennt ein beschaedigtes/fehlendes Objekt in der Sicherung.
-func TestCheck_DetectsCorruptedPack(t *testing.T) {
-	cfg := setupTest(t)
-	ctx := context.Background()
-	sourceDir := t.TempDir()
-	writeFile(t, sourceDir, "wichtig.pdf", "inhalt, der spaeter absichtlich beschaedigt wird")
-
-	if _, err := Backup(ctx, cfg, sourceDir); err != nil {
-		t.Fatalf("sicherung: %v", err)
-	}
-	if err := Check(ctx, cfg, true); err != nil {
-		t.Fatalf("check (unbeschaedigt) haette erfolgreich sein muessen: %v", err)
-	}
-
-	// Absichtliche Beschaedigung: ein Byte in einer Pack-Datei im
-	// Repository kippen (dieselbe Fundstelle wie beim manuellen
-	// Nachweis waehrend der Recherche zu diesem Ticket).
-	packDir := filepath.Join(cfg.RepoDir, "data")
-	corrupted := false
-	if err := filepath.Walk(packDir, func(path string, info os.FileInfo, err error) error {
-		if err != nil || info.IsDir() || corrupted {
-			return err
-		}
-		data, err := os.ReadFile(path)
-		if err != nil {
-			return err
-		}
-		if len(data) < 20 {
-			return nil
-		}
-		data[10] ^= 0xFF
-		if err := os.WriteFile(path, data, 0o600); err != nil {
-			return err
-		}
-		corrupted = true
-		return nil
-	}); err != nil {
-		t.Fatalf("pack-datei beschaedigen: %v", err)
-	}
-	if !corrupted {
-		t.Fatal("keine pack-datei zum beschaedigen gefunden - testaufbau fehlerhaft")
-	}
-
-	if err := Check(ctx, cfg, true); err == nil {
-		t.Fatal("check haette die beschaedigte pack-datei erkennen muessen")
-	}
-}
-
-// TestForget_KeepsOnlyRequestedSnapshotCount prueft die Rotation.
-func TestForget_KeepsOnlyRequestedSnapshotCount(t *testing.T) {
-	cfg := setupTest(t)
-	ctx := context.Background()
-	sourceDir := t.TempDir()
-
-	for i := 0; i < 3; i++ {
-		writeFile(t, sourceDir, "f.txt", "version "+string(rune('a'+i)))
-		if _, err := Backup(ctx, cfg, sourceDir); err != nil {
-			t.Fatalf("sicherung %d: %v", i, err)
-		}
-	}
-	before, err := SnapshotCount(ctx, cfg)
-	if err != nil {
-		t.Fatalf("snapshotcount (vorher): %v", err)
-	}
-	if before != 3 {
-		t.Fatalf("erwartet 3 snapshots vor rotation, habe %d", before)
-	}
-
-	if err := Forget(ctx, cfg, 1); err != nil {
-		t.Fatalf("forget: %v", err)
-	}
-
-	after, err := SnapshotCount(ctx, cfg)
-	if err != nil {
-		t.Fatalf("snapshotcount (nachher): %v", err)
-	}
-	if after != 1 {
-		t.Fatalf("erwartet 1 snapshot nach rotation (keep-last 1), habe %d", after)
-	}
-}

archive/internal/objectbackup/restore_test.go

@@ -1,41 +0,0 @@
-package objectbackup
-
-import (
-	"context"
-	"os"
-	"path/filepath"
-	"testing"
-)
-
-// TestRestore_RecoversRealContentFromSnapshot ist Pruefung 1 fuer BAK-03
-// (Objekt-Storage-Teil): Restore auf leerem Zielverzeichnis vollstaendig
-// erfolgreich, real gegen restic geprueft, Dateiinhalt tatsaechlich
-// verglichen (kein Bloss-Existenz-Check).
-func TestRestore_RecoversRealContentFromSnapshot(t *testing.T) {
-	cfg := setupTest(t)
-	ctx := context.Background()
-
-	sourceDir := t.TempDir()
-	content := []byte("original objektinhalt fuer restore-test")
-	if err := os.WriteFile(filepath.Join(sourceDir, "objekt.txt"), content, 0o600); err != nil {
-		t.Fatal(err)
-	}
-	summary, err := Backup(ctx, cfg, sourceDir)
-	if err != nil {
-		t.Fatalf("backup: %v", err)
-	}
-
-	targetDir := t.TempDir()
-	if err := Restore(ctx, cfg, summary.SnapshotID, targetDir); err != nil {
-		t.Fatalf("restore: %v", err)
-	}
-
-	restoredPath := filepath.Join(targetDir, sourceDir, "objekt.txt")
-	got, err := os.ReadFile(restoredPath)
-	if err != nil {
-		t.Fatalf("wiederhergestellte datei lesen (%s): %v", restoredPath, err)
-	}
-	if string(got) != string(content) {
-		t.Fatalf("wiederhergestellter inhalt = %q, want %q", got, content)
-	}
-}

archive/internal/reconcile/reconcile.go

@@ -1,106 +0,0 @@
-// Package reconcile implementiert BAK-05: periodischer Abgleich, ob jeder
-// in der Datenbank referenzierte Objekt-Storage-Eintrag tatsächlich
-// existiert und umgekehrt. Prüft AUSSCHLIESSLICH Existenz — niemals
-// Inhalt (das ist Archive BAK-08, eine eigene Fehlerklasse, bewusst nicht
-// hier mit hineingezogen, siehe reconcile_test.go
-// TestReconcile_ExistingButCorruptedObjectProducesNoFinding).
-package reconcile
-
-import (
-	"sort"
-	"time"
-)
-
-// Finding ist EIN Abweichungsfund — entweder ein Datenbankeintrag ohne
-// Storage-Objekt oder umgekehrt.
-type Finding struct {
-	StorageKey string `json:"storage_key"`
-	DocumentID string `json:"document_id,omitempty"`
-	RevisionID string `json:"revision_id,omitempty"`
-}
-
-// Report ist das Ergebnis EINES Abgleichslaufs (Akzeptanzkriterium 3:
-// Abweichungen werden BERICHTET, nicht automatisch behoben — Report ist
-// reine Information, keine Reparaturfunktion existiert in diesem Paket).
-//
-// Beide Listen sind nach StorageKey aufsteigend sortiert — bei gleicher
-// Eingabe liefert Reconcile IMMER dieselbe Reihenfolge (deterministisch),
-// damit ein nachgelagerter Verbraucher (Archive BAK-08: zieht seine
-// Stichprobe aus der Liste der EXISTIERENDEN Objekte) sich auf eine
-// stabile Sortierung verlassen kann, statt bei jedem Lauf neu zu
-// filtern/sortieren.
-type Report struct {
-	GeneratedAt time.Time `json:"generated_at"`
-	// MissingInStorage: Datenbankeintrag vorhanden, Objekt im Storage fehlt
-	// (Akzeptanzkriterium 1).
-	MissingInStorage []Finding `json:"missing_in_storage"`
-	// OrphanedInStorage: Objekt im Storage vorhanden, kein Datenbankeintrag
-	// (Akzeptanzkriterium 2).
-	OrphanedInStorage []Finding `json:"orphaned_in_storage"`
-	// ExistingInStorage: Datenbankeintrag UND Storage-Objekt beide
-	// vorhanden — reine Existenzbestätigung, KEINE Inhaltsprüfung. Dient
-	// Archive BAK-08 als stabile, deterministisch sortierte
-	// Stichprobengrundlage (nach StorageKey aufsteigend, siehe Report-
-	// Dokumentation oben) — BAK-08 muss dafür selbst nicht mehr
-	// sortieren/filtern.
-	ExistingInStorage []Finding `json:"existing_in_storage"`
-}
-
-// IsClean liefert true, wenn der Lauf keine Abweichungen fand (Pflicht-
-// prüfung 3: "Lauf ohne Abweichungen liefert einen leeren, eindeutig als
-// sauber erkennbaren Bericht" — IsClean ist genau dieses eindeutige
-// Erkennungsmerkmal, statt dass ein Aufrufer beide Listen selbst auf
-// Leere prüfen muss).
-func (r Report) IsClean() bool {
-	return len(r.MissingInStorage) == 0 && len(r.OrphanedInStorage) == 0
-}
-
-// DBEntry ist ein Datenbankeintrag, wie ihn ListDBStorageKeys liefert.
-type DBEntry struct {
-	StorageKey string
-	DocumentID string
-	RevisionID string
-}
-
-// Reconcile vergleicht dbEntries (aus file_revisions.storage_key, DMS
-// FDN-02) gegen storageKeys (tatsächlich im Objekt-Storage vorhandene
-// Schlüssel, z.B. per Verzeichnis-Walk des FDN-03-LocalDriver-
-// Basisverzeichnisses) und liefert die Abweichungen in beide Richtungen.
-// Reine Funktion — kein Datenbank-/Storage-Zugriff hier, dadurch ohne
-// echte Infrastruktur testbar (siehe reconcile_test.go).
-func Reconcile(dbEntries []DBEntry, storageKeys []string) Report {
-	storageSet := make(map[string]bool, len(storageKeys))
-	for _, k := range storageKeys {
-		storageSet[k] = true
-	}
-	dbSet := make(map[string]DBEntry, len(dbEntries))
-	for _, e := range dbEntries {
-		dbSet[e.StorageKey] = e
-	}
-
-	var missing, existing []Finding
-	for _, e := range dbEntries {
-		if !storageSet[e.StorageKey] {
-			missing = append(missing, Finding(e))
-		} else {
-			existing = append(existing, Finding(e))
-		}
-	}
-	var orphaned []Finding
-	for _, k := range storageKeys {
-		if _, ok := dbSet[k]; !ok {
-			orphaned = append(orphaned, Finding{StorageKey: k})
-		}
-	}
-
-	sort.Slice(missing, func(i, j int) bool { return missing[i].StorageKey < missing[j].StorageKey })
-	sort.Slice(orphaned, func(i, j int) bool { return orphaned[i].StorageKey < orphaned[j].StorageKey })
-	sort.Slice(existing, func(i, j int) bool { return existing[i].StorageKey < existing[j].StorageKey })
-
-	return Report{
-		GeneratedAt:       time.Now().UTC(),
-		MissingInStorage:  missing,
-		OrphanedInStorage: orphaned,
-		ExistingInStorage: existing,
-	}
-}

archive/internal/reconcile/reconcile_test.go

@@ -1,169 +0,0 @@
-package reconcile
-
-import "testing"
-
-// TestReconcile_DetectsMissingInStorage ist Akzeptanzkriterium 1 / Pruefung
-// 1: ein Datenbankeintrag ohne zugehoeriges Objekt im Storage wird erkannt.
-func TestReconcile_DetectsMissingInStorage(t *testing.T) {
-	db := []DBEntry{
-		{StorageKey: "documents/d1/revisions/r1", DocumentID: "d1", RevisionID: "r1"},
-		{StorageKey: "documents/d2/revisions/r1", DocumentID: "d2", RevisionID: "r1"},
-	}
-	storage := []string{"documents/d1/revisions/r1"} // d2/r1 fehlt absichtlich
-
-	report := Reconcile(db, storage)
-
-	if len(report.MissingInStorage) != 1 {
-		t.Fatalf("erwartet 1 fund in missing_in_storage, habe %d: %+v", len(report.MissingInStorage), report.MissingInStorage)
-	}
-	if report.MissingInStorage[0].StorageKey != "documents/d2/revisions/r1" {
-		t.Fatalf("unerwarteter fund: %+v", report.MissingInStorage[0])
-	}
-	if len(report.OrphanedInStorage) != 0 {
-		t.Fatalf("erwartet 0 funde in orphaned_in_storage, habe %d", len(report.OrphanedInStorage))
-	}
-}
-
-// TestReconcile_DetectsOrphanedInStorage ist Akzeptanzkriterium 2 /
-// Pruefung 2: ein Storage-Objekt ohne Datenbankeintrag wird erkannt.
-func TestReconcile_DetectsOrphanedInStorage(t *testing.T) {
-	db := []DBEntry{
-		{StorageKey: "documents/d1/revisions/r1", DocumentID: "d1", RevisionID: "r1"},
-	}
-	storage := []string{
-		"documents/d1/revisions/r1",
-		"documents/verwaist/revisions/r1", // kein DB-Eintrag dafuer
-	}
-
-	report := Reconcile(db, storage)
-
-	if len(report.OrphanedInStorage) != 1 {
-		t.Fatalf("erwartet 1 fund in orphaned_in_storage, habe %d: %+v", len(report.OrphanedInStorage), report.OrphanedInStorage)
-	}
-	if report.OrphanedInStorage[0].StorageKey != "documents/verwaist/revisions/r1" {
-		t.Fatalf("unerwarteter fund: %+v", report.OrphanedInStorage[0])
-	}
-	if len(report.MissingInStorage) != 0 {
-		t.Fatalf("erwartet 0 funde in missing_in_storage, habe %d", len(report.MissingInStorage))
-	}
-}
-
-// TestReconcile_CleanRunProducesEmptyReport ist Pruefung 3: Lauf ohne
-// Abweichungen liefert einen leeren, eindeutig als sauber erkennbaren
-// Bericht.
-func TestReconcile_CleanRunProducesEmptyReport(t *testing.T) {
-	db := []DBEntry{
-		{StorageKey: "documents/d1/revisions/r1", DocumentID: "d1", RevisionID: "r1"},
-		{StorageKey: "documents/d2/revisions/r1", DocumentID: "d2", RevisionID: "r1"},
-	}
-	storage := []string{"documents/d1/revisions/r1", "documents/d2/revisions/r1"}
-
-	report := Reconcile(db, storage)
-
-	if !report.IsClean() {
-		t.Fatalf("erwartet sauberen bericht, habe missing=%v orphaned=%v", report.MissingInStorage, report.OrphanedInStorage)
-	}
-	if len(report.MissingInStorage) != 0 || len(report.OrphanedInStorage) != 0 {
-		t.Fatal("IsClean()==true, aber listen sind nicht leer - widerspruch")
-	}
-}
-
-// TestReconcile_ExistingButCorruptedObjectProducesNoFinding ist der
-// Nachweis, dass BAK-05 AUSSCHLIESSLICH Existenz prueft, niemals Inhalt
-// (die Fehlerklasse "existiert, aber Inhalt beschaedigt" ist Archive
-// BAK-08, bewusst nicht hier) — Reconcile bekommt nur SCHLUESSEL, hat gar
-// keine Moeglichkeit, auf Inhalt zuzugreifen; dieser Test dokumentiert die
-// Absicht explizit, damit sie nicht versehentlich spaeter aufgeweicht wird.
-func TestReconcile_ExistingButCorruptedObjectProducesNoFinding(t *testing.T) {
-	db := []DBEntry{
-		{StorageKey: "documents/d1/revisions/r1", DocumentID: "d1", RevisionID: "r1"},
-	}
-	// "korruptes" Objekt hier rein simuliert durch denselben Schluessel -
-	// Reconcile kennt und prueft keinen Inhalt, nur den Schluessel selbst.
-	storage := []string{"documents/d1/revisions/r1"}
-
-	report := Reconcile(db, storage)
-
-	if !report.IsClean() {
-		t.Fatalf("ein existierendes (wenn auch inhaltlich korruptes) objekt haette KEINEN befund ausloesen duerfen, habe: %+v", report)
-	}
-}
-
-// TestReconcile_ExistingInStorageIsStableSamplingBasis ist der Nachweis,
-// dass Reconcile eine deterministisch sortierte Liste ALLER bestaetigt
-// existierenden Objekte liefert (DB-Eintrag UND Storage-Objekt vorhanden)
-// - dies ist die Stichprobengrundlage, die Archive BAK-08 weiterverwendet,
-// ohne selbst neu zu sortieren/filtern.
-func TestReconcile_ExistingInStorageIsStableSamplingBasis(t *testing.T) {
-	db := []DBEntry{
-		{StorageKey: "documents/z/revisions/r1", DocumentID: "z", RevisionID: "r1"},
-		{StorageKey: "documents/a/revisions/r1", DocumentID: "a", RevisionID: "r1"},
-		{StorageKey: "documents/fehlt/revisions/r1", DocumentID: "fehlt", RevisionID: "r1"},
-	}
-	storage := []string{
-		"documents/z/revisions/r1",
-		"documents/a/revisions/r1",
-	}
-
-	report := Reconcile(db, storage)
-
-	want := []string{"documents/a/revisions/r1", "documents/z/revisions/r1"}
-	if len(report.ExistingInStorage) != len(want) {
-		t.Fatalf("erwartet %d bestaetigt existierende objekte, habe %d: %+v", len(want), len(report.ExistingInStorage), report.ExistingInStorage)
-	}
-	for i, w := range want {
-		if report.ExistingInStorage[i].StorageKey != w {
-			t.Fatalf("sortierreihenfolge falsch: %v, want beginnend mit %v", report.ExistingInStorage, want)
-		}
-	}
-	if len(report.MissingInStorage) != 1 || report.MissingInStorage[0].StorageKey != "documents/fehlt/revisions/r1" {
-		t.Fatalf("missing_in_storage unerwartet: %+v", report.MissingInStorage)
-	}
-}
-
-// TestReconcile_DeterministicOrdering ist der Nachweis fuer die
-// Stabilitaets-Anforderung: gleiche Eingabe liefert bei mehreren Laeufen
-// IMMER dieselbe Reihenfolge (Voraussetzung dafuer, dass Archive BAK-08
-// die Liste der existierenden Objekte stabil weiterverarbeiten kann, ohne
-// selbst neu zu sortieren/filtern).
-func TestReconcile_DeterministicOrdering(t *testing.T) {
-	db := []DBEntry{
-		{StorageKey: "documents/z/revisions/r1", DocumentID: "z", RevisionID: "r1"},
-		{StorageKey: "documents/a/revisions/r1", DocumentID: "a", RevisionID: "r1"},
-		{StorageKey: "documents/m/revisions/r1", DocumentID: "m", RevisionID: "r1"},
-	}
-	storage := []string{
-		"documents/a/revisions/r1", // deckt genau den DB-Eintrag "a" ab
-		"documents/y/revisions/r1",
-		"documents/n/revisions/r1",
-	}
-
-	first := Reconcile(db, storage)
-	second := Reconcile(db, storage)
-
-	if len(first.MissingInStorage) != len(second.MissingInStorage) {
-		t.Fatal("unterschiedliche anzahl funde zwischen zwei laeufen mit identischer eingabe")
-	}
-	for i := range first.MissingInStorage {
-		if first.MissingInStorage[i].StorageKey != second.MissingInStorage[i].StorageKey {
-			t.Fatalf("reihenfolge in missing_in_storage nicht deterministisch: lauf1[%d]=%q lauf2[%d]=%q",
-				i, first.MissingInStorage[i].StorageKey, i, second.MissingInStorage[i].StorageKey)
-		}
-	}
-	for i := range first.OrphanedInStorage {
-		if first.OrphanedInStorage[i].StorageKey != second.OrphanedInStorage[i].StorageKey {
-			t.Fatalf("reihenfolge in orphaned_in_storage nicht deterministisch: lauf1[%d]=%q lauf2[%d]=%q",
-				i, first.OrphanedInStorage[i].StorageKey, i, second.OrphanedInStorage[i].StorageKey)
-		}
-	}
-	// Aufsteigend sortiert (a < m < z), nicht Einfuegereihenfolge.
-	wantOrder := []string{"documents/m/revisions/r1", "documents/z/revisions/r1"}
-	if len(first.MissingInStorage) != len(wantOrder) {
-		t.Fatalf("erwartet %d funde, habe %d", len(wantOrder), len(first.MissingInStorage))
-	}
-	for i, w := range wantOrder {
-		if first.MissingInStorage[i].StorageKey != w {
-			t.Fatalf("sortierreihenfolge falsch: %v, want beginnend mit %v", first.MissingInStorage, wantOrder)
-		}
-	}
-}

archive/internal/reconcile/sources.go

@@ -1,65 +0,0 @@
-package reconcile
-
-import (
-	"context"
-	"fmt"
-	"os"
-	"path/filepath"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// ListDBStorageKeys liest alle storage_key-Werte aus file_revisions
-// (DMS FDN-02) — Archive liest direkt aus derselben physischen
-// Tenant-Datenbank (Modell C, Core TEN-01), OHNE DMS-Go-Pakete zu
-// importieren (Archive ist ein eigenes Go-Modul) — reiner SQL-Zugriff
-// gegen das dokumentierte Schema, sortiert nach storage_key für
-// deterministische Reconcile-Ergebnisse.
-func ListDBStorageKeys(ctx context.Context, pool *pgxpool.Pool) ([]DBEntry, error) {
-	rows, err := pool.Query(ctx, `
-		SELECT storage_key, document_id, id FROM file_revisions ORDER BY storage_key
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("reconcile: file_revisions abfragen: %w", err)
-	}
-	defer rows.Close()
-
-	var entries []DBEntry
-	for rows.Next() {
-		var e DBEntry
-		if err := rows.Scan(&e.StorageKey, &e.DocumentID, &e.RevisionID); err != nil {
-			return nil, fmt.Errorf("reconcile: file_revisions-zeile lesen: %w", err)
-		}
-		entries = append(entries, e)
-	}
-	return entries, rows.Err()
-}
-
-// ListStorageObjects durchläuft den lokalen FDN-03-LocalDriver-
-// Basisordner und liefert alle vorhandenen Objektschlüssel (Pfad relativ
-// zu baseDir, mit "/" als Trenner — dasselbe Format wie
-// storage.ObjectKey aus FDN-03), sortiert.
-func ListStorageObjects(baseDir string) ([]string, error) {
-	var keys []string
-	err := filepath.WalkDir(baseDir, func(path string, d os.DirEntry, err error) error {
-		if err != nil {
-			return err
-		}
-		if d.IsDir() {
-			return nil
-		}
-		rel, err := filepath.Rel(baseDir, path)
-		if err != nil {
-			return err
-		}
-		keys = append(keys, filepath.ToSlash(rel))
-		return nil
-	})
-	if err != nil {
-		if os.IsNotExist(err) {
-			return nil, nil
-		}
-		return nil, fmt.Errorf("reconcile: objekt-storage durchlaufen: %w", err)
-	}
-	return keys, nil
-}

archive/internal/reconcile/sources_test.go

@@ -1,132 +0,0 @@
-package reconcile
-
-import (
-	"context"
-	"os"
-	"path/filepath"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func requireTestPool(t *testing.T) *pgxpool.Pool {
-	t.Helper()
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	// Minimalschema, das exakt DMS FDN-02s file_revisions-Spalten spiegelt
-	// (Archive kann DMS' internal/-Pakete als eigenes Go-Modul nicht
-	// importieren, daher hier als Testfixture kopiert statt real migriert).
-	if _, err := pool.Exec(ctx, `
-		CREATE EXTENSION IF NOT EXISTS pgcrypto;
-		CREATE TABLE IF NOT EXISTS users (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS documents (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), title TEXT NOT NULL,
-			created_by UUID NOT NULL REFERENCES users(id), created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS file_revisions (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), document_id UUID NOT NULL REFERENCES documents(id) ON DELETE CASCADE,
-			storage_key TEXT NOT NULL, checksum_sha256 TEXT NOT NULL, size_bytes BIGINT NOT NULL,
-			mime_type TEXT NOT NULL, revision_number INTEGER NOT NULL, created_by UUID NOT NULL REFERENCES users(id),
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `TRUNCATE file_revisions, documents, users CASCADE`)
-	})
-	return pool
-}
-
-// TestListDBStorageKeys_ReadsRealFileRevisions ist der Nachweis, dass
-// ListDBStorageKeys tatsaechlich gegen eine echte Postgres-Instanz mit
-// DMS-FDN-02-Schema liest — kein Mock.
-func TestListDBStorageKeys_ReadsRealFileRevisions(t *testing.T) {
-	pool := requireTestPool(t)
-	ctx := context.Background()
-
-	var userID, docID string
-	if err := pool.QueryRow(ctx, `INSERT INTO users (email, name) VALUES ('reconcile-test@example.test', 'Test') RETURNING id`).Scan(&userID); err != nil {
-		t.Fatalf("testbenutzer anlegen: %v", err)
-	}
-	if err := pool.QueryRow(ctx, `INSERT INTO documents (title, created_by) VALUES ('doc', $1) RETURNING id`, userID).Scan(&docID); err != nil {
-		t.Fatalf("testdokument anlegen: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		INSERT INTO file_revisions (document_id, storage_key, checksum_sha256, size_bytes, mime_type, revision_number, created_by)
-		VALUES ($1, 'documents/x/revisions/1', 'abc', 10, 'text/plain', 1, $2)
-	`, docID, userID); err != nil {
-		t.Fatalf("testrevision anlegen: %v", err)
-	}
-
-	entries, err := ListDBStorageKeys(ctx, pool)
-	if err != nil {
-		t.Fatalf("listdbstoragekeys: %v", err)
-	}
-	if len(entries) != 1 {
-		t.Fatalf("erwartet 1 eintrag, habe %d", len(entries))
-	}
-	if entries[0].StorageKey != "documents/x/revisions/1" {
-		t.Fatalf("storage_key = %q, want %q", entries[0].StorageKey, "documents/x/revisions/1")
-	}
-	if entries[0].DocumentID != docID {
-		t.Fatalf("document_id = %q, want %q", entries[0].DocumentID, docID)
-	}
-}
-
-// TestListStorageObjects_WalksRealDirectory ist der Nachweis, dass
-// ListStorageObjects tatsaechlich das Dateisystem durchlaeuft.
-func TestListStorageObjects_WalksRealDirectory(t *testing.T) {
-	baseDir := t.TempDir()
-	mustWriteFile(t, filepath.Join(baseDir, "documents", "d1", "revisions", "r1"), "inhalt")
-	mustWriteFile(t, filepath.Join(baseDir, "documents", "d2", "revisions", "r1"), "inhalt")
-
-	keys, err := ListStorageObjects(baseDir)
-	if err != nil {
-		t.Fatalf("liststorageobjects: %v", err)
-	}
-	if len(keys) != 2 {
-		t.Fatalf("erwartet 2 objektschluessel, habe %d: %v", len(keys), keys)
-	}
-	want := []string{"documents/d1/revisions/r1", "documents/d2/revisions/r1"}
-	for i, w := range want {
-		if keys[i] != w {
-			t.Fatalf("schluessel[%d] = %q, want %q (voll: %v)", i, keys[i], w, keys)
-		}
-	}
-}
-
-// TestListStorageObjects_MissingDirectoryReturnsEmpty prueft das
-// Verhalten, wenn das Basisverzeichnis (noch) gar nicht existiert -
-// sollte als "keine Objekte", nicht als Fehler behandelt werden.
-func TestListStorageObjects_MissingDirectoryReturnsEmpty(t *testing.T) {
-	keys, err := ListStorageObjects("/pfad/der/nicht/existiert/fuer/diesen/test")
-	if err != nil {
-		t.Fatalf("erwartet keinen fehler bei fehlendem verzeichnis, habe: %v", err)
-	}
-	if len(keys) != 0 {
-		t.Fatalf("erwartet 0 schluessel, habe %d", len(keys))
-	}
-}
-
-func mustWriteFile(t *testing.T, path, content string) {
-	t.Helper()
-	if err := os.MkdirAll(filepath.Dir(path), 0o755); err != nil {
-		t.Fatalf("verzeichnis anlegen: %v", err)
-	}
-	if err := os.WriteFile(path, []byte(content), 0o600); err != nil {
-		t.Fatalf("datei schreiben: %v", err)
-	}
-}

archive/internal/restore/restore.go

@@ -1,133 +0,0 @@
-// Package restore implementiert BAK-03: dokumentiertes, wiederholbares
-// Restore-Verfahren für Datenbank (BAK-01) und Objekt-Storage (BAK-02).
-// Enthält NUR die gemeinsame Ablauflogik (Atomarität über Temp-Verzeichnis,
-// Protokollierung) — die eigentliche Wiederherstellung bleibt in den
-// jeweiligen Paketen (backup.Restore, objectbackup.Restore), damit
-// internal/restore nicht weiß, WIE eine Sicherung gelesen wird, nur WANN
-// und WIE SICHER sie an ihren Zielort darf.
-package restore
-
-import (
-	"encoding/json"
-	"fmt"
-	"os"
-	"path/filepath"
-	"time"
-)
-
-// Kind unterscheidet die beiden Restore-Arten im Protokoll.
-type Kind string
-
-const (
-	KindDatabase Kind = "database"
-	KindObjects  Kind = "objects"
-)
-
-// LogEntry ist EIN Protokolleintrag (Akzeptanzkriterium 3: Quelle,
-// Zeitpunkt, Ergebnis).
-type LogEntry struct {
-	Timestamp time.Time `json:"timestamp"`
-	Kind      Kind      `json:"kind"`
-	Source    string    `json:"source"` // Generation-ID oder Snapshot-ID
-	Target    string    `json:"target"`
-	Result    string    `json:"result"` // "ok", "abgebrochen: ...", "fehlgeschlagen: ..."
-}
-
-// ErrTargetNotEmpty wird zurückgegeben, wenn targetDir bereits Inhalt hat
-// und force nicht gesetzt ist — Akzeptanzkriterium 2: bestehender Inhalt
-// bleibt unangetastet, solange der Vorgang nicht bestätigt wird.
-var ErrTargetNotEmpty = fmt.Errorf("restore: zielverzeichnis ist nicht leer, restore ohne bestätigung (force) abgebrochen")
-
-// AtomicRestore führt restoreFn gegen ein FRISCHES temporäres Verzeichnis
-// aus (niemals direkt gegen target) und übernimmt es erst bei Erfolg —
-// entweder wenn target leer ist, oder wenn force=true (bewusste
-// Bestätigung, bestehenden Inhalt zu überschreiben). Bei jedem Fehler
-// oder abgelehnter Bestätigung bleibt target garantiert unverändert
-// (Akzeptanzkriterium 2), das temporäre Verzeichnis wird aufgeräumt.
-// Jeder Aufruf – erfolgreich oder nicht – erzeugt genau einen
-// Protokolleintrag in logPath (Akzeptanzkriterium 3).
-func AtomicRestore(kind Kind, source, target string, force bool, logPath string, restoreFn func(tempDir string) error) (LogEntry, error) {
-	entry := LogEntry{Timestamp: time.Now().UTC(), Kind: kind, Source: source, Target: target}
-
-	empty, err := dirIsEmptyOrMissing(target)
-	if err != nil {
-		entry.Result = "fehlgeschlagen: " + err.Error()
-		_ = appendLog(logPath, entry)
-		return entry, err
-	}
-	if !empty && !force {
-		entry.Result = "abgebrochen: " + ErrTargetNotEmpty.Error()
-		_ = appendLog(logPath, entry)
-		return entry, ErrTargetNotEmpty
-	}
-
-	parent := filepath.Dir(filepath.Clean(target))
-	tempDir, err := os.MkdirTemp(parent, ".restore-tmp-*")
-	if err != nil {
-		entry.Result = "fehlgeschlagen: temp-verzeichnis anlegen: " + err.Error()
-		_ = appendLog(logPath, entry)
-		return entry, fmt.Errorf("restore: temp-verzeichnis anlegen: %w", err)
-	}
-	defer func() { _ = os.RemoveAll(tempDir) }() // no-op nach erfolgreichem Rename (Verzeichnis existiert dann nicht mehr)
-
-	if err := restoreFn(tempDir); err != nil {
-		entry.Result = "fehlgeschlagen: " + err.Error()
-		_ = appendLog(logPath, entry)
-		return entry, fmt.Errorf("restore: wiederherstellung: %w", err)
-	}
-
-	if !empty {
-		// force=true, bewusste Bestätigung: alter Inhalt wird ERST JETZT
-		// entfernt, nachdem restoreFn bereits erfolgreich in tempDir
-		// abgeschlossen hat — ein Fehlschlag oben hätte target nie berührt.
-		if err := os.RemoveAll(target); err != nil {
-			entry.Result = "fehlgeschlagen: altes ziel entfernen: " + err.Error()
-			_ = appendLog(logPath, entry)
-			return entry, fmt.Errorf("restore: altes ziel entfernen: %w", err)
-		}
-	} else if err := os.MkdirAll(parent, 0o750); err != nil {
-		entry.Result = "fehlgeschlagen: übergeordnetes verzeichnis anlegen: " + err.Error()
-		_ = appendLog(logPath, entry)
-		return entry, fmt.Errorf("restore: übergeordnetes verzeichnis anlegen: %w", err)
-	}
-
-	if err := os.Rename(tempDir, target); err != nil {
-		entry.Result = "fehlgeschlagen: umbenennen: " + err.Error()
-		_ = appendLog(logPath, entry)
-		return entry, fmt.Errorf("restore: temp-verzeichnis nach ziel umbenennen: %w", err)
-	}
-
-	entry.Result = "ok"
-	if err := appendLog(logPath, entry); err != nil {
-		return entry, fmt.Errorf("restore: protokoll schreiben: %w", err)
-	}
-	return entry, nil
-}
-
-func dirIsEmptyOrMissing(dir string) (bool, error) {
-	entries, err := os.ReadDir(dir)
-	if err != nil {
-		if os.IsNotExist(err) {
-			return true, nil
-		}
-		return false, fmt.Errorf("zielverzeichnis lesen: %w", err)
-	}
-	return len(entries) == 0, nil
-}
-
-func appendLog(logPath string, entry LogEntry) error {
-	f, err := os.OpenFile(logPath, os.O_APPEND|os.O_CREATE|os.O_WRONLY, 0o600)
-	if err != nil {
-		return fmt.Errorf("protokolldatei öffnen: %w", err)
-	}
-	defer func() { _ = f.Close() }()
-
-	line, err := json.Marshal(entry)
-	if err != nil {
-		return fmt.Errorf("protokolleintrag kodieren: %w", err)
-	}
-	if _, err := f.Write(append(line, '\n')); err != nil {
-		return fmt.Errorf("protokolleintrag schreiben: %w", err)
-	}
-	return nil
-}

archive/internal/restore/restore_test.go

@@ -1,181 +0,0 @@
-package restore
-
-import (
-	"encoding/json"
-	"os"
-	"path/filepath"
-	"testing"
-)
-
-func readLog(t *testing.T, path string) []LogEntry {
-	t.Helper()
-	data, err := os.ReadFile(path)
-	if err != nil {
-		t.Fatalf("protokolldatei lesen: %v", err)
-	}
-	var entries []LogEntry
-	for _, line := range splitLines(data) {
-		if len(line) == 0 {
-			continue
-		}
-		var e LogEntry
-		if err := json.Unmarshal(line, &e); err != nil {
-			t.Fatalf("protokollzeile dekodieren: %v (%s)", err, line)
-		}
-		entries = append(entries, e)
-	}
-	return entries
-}
-
-func splitLines(data []byte) [][]byte {
-	var out [][]byte
-	start := 0
-	for i, b := range data {
-		if b == '\n' {
-			out = append(out, data[start:i])
-			start = i + 1
-		}
-	}
-	return out
-}
-
-// TestAtomicRestore_EmptyTarget_Succeeds ist Pruefung 1: Restore auf
-// leerem (nicht vorhandenem) Ziel vollstaendig erfolgreich.
-func TestAtomicRestore_EmptyTarget_Succeeds(t *testing.T) {
-	root := t.TempDir()
-	target := filepath.Join(root, "ziel")
-	logPath := filepath.Join(root, "restore.log")
-
-	entry, err := AtomicRestore(KindDatabase, "gen-1", target, false, logPath, func(tempDir string) error {
-		return os.WriteFile(filepath.Join(tempDir, "marker"), []byte("wiederhergestellt"), 0o600)
-	})
-	if err != nil {
-		t.Fatalf("atomicRestore: %v", err)
-	}
-	if entry.Result != "ok" {
-		t.Fatalf("result = %q, want ok", entry.Result)
-	}
-	content, err := os.ReadFile(filepath.Join(target, "marker"))
-	if err != nil || string(content) != "wiederhergestellt" {
-		t.Fatalf("ziel nicht korrekt befuellt: %v %q", err, content)
-	}
-}
-
-// TestAtomicRestore_NonEmptyTargetWithoutForce_LeavesOriginalUntouched ist
-// Pruefung 2: Restore auf nicht-leeres Zielverzeichnis laesst bei Abbruch
-// (keine Bestaetigung) den urspruenglichen Inhalt unveraendert.
-func TestAtomicRestore_NonEmptyTargetWithoutForce_LeavesOriginalUntouched(t *testing.T) {
-	root := t.TempDir()
-	target := filepath.Join(root, "ziel")
-	logPath := filepath.Join(root, "restore.log")
-	if err := os.MkdirAll(target, 0o750); err != nil {
-		t.Fatal(err)
-	}
-	if err := os.WriteFile(filepath.Join(target, "bestehend"), []byte("original"), 0o600); err != nil {
-		t.Fatal(err)
-	}
-
-	restoreFnCalled := false
-	_, err := AtomicRestore(KindObjects, "snap-1", target, false, logPath, func(tempDir string) error {
-		restoreFnCalled = true
-		return nil
-	})
-	if err != ErrTargetNotEmpty {
-		t.Fatalf("erwartet ErrTargetNotEmpty, habe: %v", err)
-	}
-	if restoreFnCalled {
-		t.Fatal("restoreFn haette bei nicht-leerem ziel ohne force NIE aufgerufen werden duerfen")
-	}
-	content, err := os.ReadFile(filepath.Join(target, "bestehend"))
-	if err != nil || string(content) != "original" {
-		t.Fatalf("urspruenglicher inhalt veraendert: %v %q", err, content)
-	}
-}
-
-// TestAtomicRestore_FailedRestoreFn_LeavesTargetUntouched ist Nachweis,
-// dass ein Fehler WAEHREND der Wiederherstellung (in tempDir) das
-// bestehende Ziel nicht beschaedigt, weil erst nach Erfolg umbenannt wird.
-func TestAtomicRestore_FailedRestoreFn_LeavesTargetUntouched(t *testing.T) {
-	root := t.TempDir()
-	target := filepath.Join(root, "ziel")
-	logPath := filepath.Join(root, "restore.log")
-	if err := os.MkdirAll(target, 0o750); err != nil {
-		t.Fatal(err)
-	}
-	if err := os.WriteFile(filepath.Join(target, "bestehend"), []byte("original"), 0o600); err != nil {
-		t.Fatal(err)
-	}
-
-	_, err := AtomicRestore(KindDatabase, "gen-2", target, true, logPath, func(tempDir string) error {
-		return os.ErrInvalid // simuliert fehlgeschlagene wiederherstellung
-	})
-	if err == nil {
-		t.Fatal("erwartet fehler")
-	}
-	content, err := os.ReadFile(filepath.Join(target, "bestehend"))
-	if err != nil || string(content) != "original" {
-		t.Fatalf("ziel bei fehlgeschlagenem restoreFn veraendert: %v %q", err, content)
-	}
-}
-
-// TestAtomicRestore_ForceOverwritesNonEmptyTarget ist Nachweis, dass eine
-// BEWUSSTE Bestaetigung (force) bestehenden Inhalt ersetzen darf.
-func TestAtomicRestore_ForceOverwritesNonEmptyTarget(t *testing.T) {
-	root := t.TempDir()
-	target := filepath.Join(root, "ziel")
-	logPath := filepath.Join(root, "restore.log")
-	if err := os.MkdirAll(target, 0o750); err != nil {
-		t.Fatal(err)
-	}
-	if err := os.WriteFile(filepath.Join(target, "alt"), []byte("alt"), 0o600); err != nil {
-		t.Fatal(err)
-	}
-
-	_, err := AtomicRestore(KindObjects, "snap-2", target, true, logPath, func(tempDir string) error {
-		return os.WriteFile(filepath.Join(tempDir, "neu"), []byte("neu"), 0o600)
-	})
-	if err != nil {
-		t.Fatalf("atomicRestore mit force: %v", err)
-	}
-	if _, err := os.Stat(filepath.Join(target, "alt")); !os.IsNotExist(err) {
-		t.Fatal("alter inhalt haette nach force-restore ersetzt sein muessen")
-	}
-	if _, err := os.Stat(filepath.Join(target, "neu")); err != nil {
-		t.Fatalf("neuer inhalt fehlt: %v", err)
-	}
-}
-
-// TestAtomicRestore_LogsCompleteEntry ist Pruefung 3: Protokolleintrag
-// ist vollstaendig und nachvollziehbar (Quelle, Zeitpunkt, Ergebnis) -
-// sowohl fuer Erfolg als auch fuer Abbruch, in derselben Datei.
-func TestAtomicRestore_LogsCompleteEntry(t *testing.T) {
-	root := t.TempDir()
-	logPath := filepath.Join(root, "restore.log")
-
-	okTarget := filepath.Join(root, "ok-ziel")
-	if _, err := AtomicRestore(KindDatabase, "gen-3", okTarget, false, logPath, func(tempDir string) error {
-		return os.WriteFile(filepath.Join(tempDir, "x"), []byte("x"), 0o600)
-	}); err != nil {
-		t.Fatalf("erfolgreicher restore: %v", err)
-	}
-
-	blockedTarget := filepath.Join(root, "blockiert-ziel")
-	if err := os.MkdirAll(blockedTarget, 0o750); err != nil {
-		t.Fatal(err)
-	}
-	if err := os.WriteFile(filepath.Join(blockedTarget, "bestehend"), []byte("y"), 0o600); err != nil {
-		t.Fatal(err)
-	}
-	_, _ = AtomicRestore(KindObjects, "snap-3", blockedTarget, false, logPath, func(tempDir string) error { return nil })
-
-	entries := readLog(t, logPath)
-	if len(entries) != 2 {
-		t.Fatalf("erwartet 2 protokolleintraege, habe %d: %+v", len(entries), entries)
-	}
-	if entries[0].Source != "gen-3" || entries[0].Kind != KindDatabase || entries[0].Result != "ok" || entries[0].Timestamp.IsZero() {
-		t.Fatalf("erster eintrag unvollstaendig: %+v", entries[0])
-	}
-	if entries[1].Source != "snap-3" || entries[1].Kind != KindObjects || entries[1].Result == "" || entries[1].Timestamp.IsZero() {
-		t.Fatalf("zweiter eintrag unvollstaendig: %+v", entries[1])
-	}
-}

archive/internal/restoretest/history.go

@@ -1,61 +0,0 @@
-package restoretest
-
-import (
-	"bufio"
-	"encoding/json"
-	"fmt"
-	"os"
-)
-
-// AppendHistory hängt result an die JSONL-Protokolldatei an
-// (Akzeptanzkriterium 2/Pflichtprüfung 3: Historie zeigt mehrere
-// zurückliegende Testläufe nachvollziehbar an — append-only, nichts wird
-// überschrieben).
-func AppendHistory(logPath string, result Result) error {
-	f, err := os.OpenFile(logPath, os.O_APPEND|os.O_CREATE|os.O_WRONLY, 0o600)
-	if err != nil {
-		return fmt.Errorf("restoretest: protokolldatei öffnen: %w", err)
-	}
-	defer func() { _ = f.Close() }()
-
-	line, err := json.Marshal(result)
-	if err != nil {
-		return fmt.Errorf("restoretest: ergebnis kodieren: %w", err)
-	}
-	if _, err := f.Write(append(line, '\n')); err != nil {
-		return fmt.Errorf("restoretest: ergebnis schreiben: %w", err)
-	}
-	return nil
-}
-
-// ReadHistory liest alle bisherigen Testlauf-Ergebnisse — Nachweis der
-// Nachvollziehbarkeit über mehrere Läufe hinweg.
-func ReadHistory(logPath string) ([]Result, error) {
-	f, err := os.Open(logPath)
-	if err != nil {
-		if os.IsNotExist(err) {
-			return nil, nil
-		}
-		return nil, fmt.Errorf("restoretest: protokolldatei lesen: %w", err)
-	}
-	defer func() { _ = f.Close() }()
-
-	var results []Result
-	scanner := bufio.NewScanner(f)
-	scanner.Buffer(make([]byte, 0, 64*1024), 1024*1024)
-	for scanner.Scan() {
-		line := scanner.Bytes()
-		if len(line) == 0 {
-			continue
-		}
-		var r Result
-		if err := json.Unmarshal(line, &r); err != nil {
-			return nil, fmt.Errorf("restoretest: protokollzeile dekodieren: %w", err)
-		}
-		results = append(results, r)
-	}
-	if err := scanner.Err(); err != nil {
-		return nil, fmt.Errorf("restoretest: protokolldatei durchlaufen: %w", err)
-	}
-	return results, nil
-}

archive/internal/restoretest/history_test.go

@@ -1,49 +0,0 @@
-package restoretest
-
-import (
-	"path/filepath"
-	"testing"
-	"time"
-)
-
-// TestHistory_ShowsMultiplePastRunsInOrder ist Pruefung 3: Protokoll-
-// historie zeigt mehrere zurueckliegende Testlaeufe nachvollziehbar an.
-func TestHistory_ShowsMultiplePastRunsInOrder(t *testing.T) {
-	logPath := filepath.Join(t.TempDir(), "restoretest.log")
-
-	results := []Result{
-		{Timestamp: time.Now().UTC(), Kind: KindDatabase, Source: "gen-1", Success: true, Detail: "ok"},
-		{Timestamp: time.Now().UTC().Add(time.Hour), Kind: KindObjects, Source: "snap-1", Success: false, Detail: "kaputt"},
-		{Timestamp: time.Now().UTC().Add(2 * time.Hour), Kind: KindDatabase, Source: "gen-2", Success: true, Detail: "ok"},
-	}
-	for _, r := range results {
-		if err := AppendHistory(logPath, r); err != nil {
-			t.Fatalf("appendHistory: %v", err)
-		}
-	}
-
-	got, err := ReadHistory(logPath)
-	if err != nil {
-		t.Fatalf("readHistory: %v", err)
-	}
-	if len(got) != len(results) {
-		t.Fatalf("erwartet %d eintraege, habe %d", len(results), len(got))
-	}
-	for i, want := range results {
-		if got[i].Source != want.Source || got[i].Success != want.Success || got[i].Kind != want.Kind {
-			t.Fatalf("eintrag %d = %+v, want %+v", i, got[i], want)
-		}
-	}
-}
-
-// TestReadHistory_MissingFileReturnsEmpty - noch kein Testlauf ist kein
-// Fehlerzustand.
-func TestReadHistory_MissingFileReturnsEmpty(t *testing.T) {
-	got, err := ReadHistory(filepath.Join(t.TempDir(), "nicht-vorhanden.log"))
-	if err != nil {
-		t.Fatalf("erwartet keinen fehler, habe: %v", err)
-	}
-	if len(got) != 0 {
-		t.Fatalf("erwartet leere historie, habe %d eintraege", len(got))
-	}
-}

archive/internal/restoretest/restoretest.go

@@ -1,239 +0,0 @@
-// Package restoretest implementiert BAK-06: regelmäßiger, automatisierter
-// Testlauf des BAK-03-Restore-Verfahrens gegen eine isolierte
-// Testumgebung — "Wiederherstellung ist Routine, nicht Ausnahmefall"
-// (Produkt-DNA) heißt: nicht nur Dateien vorhanden pruefen, sondern
-// tatsächlich eine funktionsfähige Instanz aus der Sicherung starten und
-// befragen, exakt wie BAK-03s eigener Prüfungsnachweis — hier als
-// Produktcode statt Testcode, damit es regelmäßig UNBEAUFSICHTIGT laufen
-// kann.
-package restoretest
-
-import (
-	"bytes"
-	"context"
-	"encoding/json"
-	"fmt"
-	"os"
-	"os/exec"
-	"path/filepath"
-	"strings"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
-)
-
-// Kind unterscheidet Datenbank- und Objekt-Storage-Testlauf im Protokoll.
-type Kind string
-
-const (
-	KindDatabase Kind = "database"
-	KindObjects  Kind = "objects"
-)
-
-// Result ist EIN Testlauf-Ergebnis (Akzeptanzkriterium 2: Ergebnis mit
-// Zeitstempel protokolliert).
-type Result struct {
-	Timestamp time.Time `json:"timestamp"`
-	Kind      Kind      `json:"kind"`
-	Source    string    `json:"source"` // Generation-ID oder Snapshot-ID
-	Success   bool      `json:"success"`
-	Detail    string    `json:"detail"`
-}
-
-// PgConfig bündelt die zusätzlich zu backup.Config nötigen Angaben für
-// den Kurzstart der Test-Instanz (eigener Port/Socket, damit die
-// Testinstanz die echte Test-Datenbank auf demselben Host nicht stört).
-type PgConfig struct {
-	PgCtlPath string // Default "pg_ctl"
-	PsqlPath  string // Default "psql"
-	TestPort  string // Default "55433"
-}
-
-func (c PgConfig) ctlBinary() string {
-	if c.PgCtlPath != "" {
-		return c.PgCtlPath
-	}
-	return "pg_ctl"
-}
-
-func (c PgConfig) psqlBinary() string {
-	if c.PsqlPath != "" {
-		return c.PsqlPath
-	}
-	return "psql"
-}
-
-func (c PgConfig) port() string {
-	if c.TestPort != "" {
-		return c.TestPort
-	}
-	return "55433"
-}
-
-// RunDatabaseTest führt einen vollständigen Restore der NEUESTEN
-// Generation in ein frisches, isoliertes Testverzeichnis durch und
-// beweist Wiederherstellbarkeit, indem daraus tatsächlich eine
-// eigenständige Postgres-Instanz gestartet und per echter Verbindung
-// abgefragt wird (Akzeptanzkriterium 1) — dieselbe Prüftiefe wie BAK-03s
-// eigener Nachweis, hier als wiederholbarer Produktcode.
-func RunDatabaseTest(ctx context.Context, cfg backup.Config, pgCfg PgConfig, testRoot string) Result {
-	res := Result{Timestamp: time.Now().UTC(), Kind: KindDatabase}
-
-	generations, err := backup.ListGenerations(cfg.BackupDir)
-	if err != nil || len(generations) == 0 {
-		res.Detail = fmt.Sprintf("keine sicherungsgeneration gefunden: %v", err)
-		return res
-	}
-	genID := generations[len(generations)-1]
-	res.Source = genID
-
-	testDir, err := os.MkdirTemp(testRoot, "restoretest-db-*")
-	if err != nil {
-		res.Detail = fmt.Sprintf("testverzeichnis anlegen: %v", err)
-		return res
-	}
-	defer func() { _ = os.RemoveAll(testDir) }()
-
-	restoreOut := filepath.Join(testDir, "pgdata")
-	if err := os.MkdirAll(restoreOut, 0o700); err != nil {
-		res.Detail = fmt.Sprintf("pgdata-verzeichnis anlegen: %v", err)
-		return res
-	}
-	if err := backup.Restore(ctx, cfg, genID, restoreOut); err != nil {
-		res.Detail = fmt.Sprintf("restore fehlgeschlagen: %v", err)
-		return res
-	}
-
-	// Minimalkonfiguration NUR für den isolierten Kurzstart (auf diesem
-	// Debian-Postgres liegen postgresql.conf/pg_hba.conf ausserhalb von
-	// PGDATA, siehe BAK-03-PRUEFPROTOKOLL.md - der reale Sicherungsinhalt
-	// selbst enthält sie nicht).
-	if err := os.WriteFile(filepath.Join(restoreOut, "postgresql.conf"), []byte("listen_addresses = ''\n"), 0o600); err != nil {
-		res.Detail = fmt.Sprintf("testkonfiguration schreiben: %v", err)
-		return res
-	}
-	if err := os.WriteFile(filepath.Join(restoreOut, "pg_hba.conf"), []byte("local all all trust\n"), 0o600); err != nil {
-		res.Detail = fmt.Sprintf("testkonfiguration schreiben: %v", err)
-		return res
-	}
-
-	// EIGENES, kurzes Verzeichnis fuer den Unix-Socket - NICHT unter
-	// testDir (Postgres begrenzt Socket-Pfade auf 107 Byte, ein tief
-	// verschachtelter Testverzeichnis-Pfad reisst dieses Limit leicht).
-	socketDir, err := os.MkdirTemp("", "nexarch-rt-sock-*")
-	if err != nil {
-		res.Detail = fmt.Sprintf("socket-verzeichnis anlegen: %v", err)
-		return res
-	}
-	defer func() { _ = os.RemoveAll(socketDir) }()
-	logFile := filepath.Join(testDir, "postgres.log")
-
-	startCtx, cancel := context.WithTimeout(ctx, 60*time.Second)
-	defer cancel()
-	startCmd := exec.CommandContext(startCtx, pgCfg.ctlBinary(), "start", "-D", restoreOut, "-w", "-t", "30", "-l", logFile,
-		"-o", fmt.Sprintf("-p %s -k %s -c listen_addresses=''", pgCfg.port(), socketDir))
-	if err := startCmd.Run(); err != nil {
-		logContent, _ := os.ReadFile(logFile)
-		res.Detail = fmt.Sprintf("testinstanz starten fehlgeschlagen: %v (log: %s)", err, string(logContent))
-		return res
-	}
-	defer func() {
-		stopCmd := exec.Command(pgCfg.ctlBinary(), "stop", "-D", restoreOut, "-m", "fast")
-		_ = stopCmd.Run()
-	}()
-
-	psqlCtx, cancelPsql := context.WithTimeout(ctx, 15*time.Second)
-	defer cancelPsql()
-	psqlOut, err := exec.CommandContext(psqlCtx, pgCfg.psqlBinary(),
-		"-h", socketDir, "-p", pgCfg.port(), "-U", cfg.User, "-d", "postgres",
-		"-tAc", "SELECT 1").CombinedOutput()
-	if err != nil || strings.TrimSpace(string(psqlOut)) != "1" {
-		res.Detail = fmt.Sprintf("verbindung zur testinstanz fehlgeschlagen: %v (ausgabe: %s)", err, string(psqlOut))
-		return res
-	}
-
-	res.Success = true
-	res.Detail = "restore und verbindungspruefung erfolgreich"
-	return res
-}
-
-// RunObjectTest führt einen vollständigen Restore des NEUESTEN Snapshots
-// in ein frisches, isoliertes Testverzeichnis durch — restics eigene
-// Vollständigkeitsgarantie beim Restore (bricht bei fehlenden/beschädigten
-// Blöcken ab) ist der Wiederherstellbarkeitsnachweis, zusätzlich real
-// geprüft, dass das Zielverzeichnis tatsächlich Inhalt enthält.
-func RunObjectTest(ctx context.Context, cfg objectbackup.Config, testRoot string) Result {
-	res := Result{Timestamp: time.Now().UTC(), Kind: KindObjects}
-
-	snapshotID, err := latestSnapshotID(ctx, cfg)
-	if err != nil {
-		res.Detail = fmt.Sprintf("neuesten snapshot ermitteln: %v", err)
-		return res
-	}
-	res.Source = snapshotID
-
-	testDir, err := os.MkdirTemp(testRoot, "restoretest-objects-*")
-	if err != nil {
-		res.Detail = fmt.Sprintf("testverzeichnis anlegen: %v", err)
-		return res
-	}
-	defer func() { _ = os.RemoveAll(testDir) }()
-
-	if err := objectbackup.Restore(ctx, cfg, snapshotID, testDir); err != nil {
-		res.Detail = fmt.Sprintf("restore fehlgeschlagen: %v", err)
-		return res
-	}
-
-	empty, err := dirIsEmpty(testDir)
-	if err != nil {
-		res.Detail = fmt.Sprintf("wiederhergestelltes verzeichnis pruefen: %v", err)
-		return res
-	}
-	if empty {
-		res.Detail = "restore lief ohne fehler, aber zielverzeichnis ist leer"
-		return res
-	}
-
-	res.Success = true
-	res.Detail = "restore erfolgreich, inhalt vorhanden"
-	return res
-}
-
-func dirIsEmpty(dir string) (bool, error) {
-	entries, err := os.ReadDir(dir)
-	if err != nil {
-		return false, err
-	}
-	return len(entries) == 0, nil
-}
-
-func latestSnapshotID(ctx context.Context, cfg objectbackup.Config) (string, error) {
-	binary := cfg.ResticPath
-	if binary == "" {
-		binary = "restic"
-	}
-	cmd := exec.CommandContext(ctx, binary, "-r", cfg.RepoDir, "snapshots", "--json")
-	cmd.Env = append(os.Environ(), "RESTIC_PASSWORD="+cfg.Password)
-	var stderr bytes.Buffer
-	cmd.Stderr = &stderr
-	// NUR stdout, nicht CombinedOutput: restic schreibt bei fehlendem/
-	// nicht beschreibbarem Cache-Verzeichnis eine Warnung nach stderr
-	// (z.B. "unable to open cache: ..." - real beobachtet unter dem
-	// systemd-Dienstnutzer "nexarch" ohne beschreibbares HOME), die vor
-	// das JSON-Array gemischt worden waere und das Parsen bricht.
-	output, err := cmd.Output()
-	if err != nil {
-		return "", fmt.Errorf("restic snapshots: %w (stderr: %s)", err, stderr.String())
-	}
-	var snapshots []struct {
-		ShortID string `json:"short_id"`
-	}
-	if err := json.Unmarshal(output, &snapshots); err != nil {
-		return "", fmt.Errorf("snapshot-liste dekodieren: %w", err)
-	}
-	if len(snapshots) == 0 {
-		return "", fmt.Errorf("keine snapshots vorhanden")
-	}
-	return snapshots[len(snapshots)-1].ShortID, nil
-}

archive/internal/restoretest/restoretest_test.go

@@ -1,122 +0,0 @@
-package restoretest
-
-import (
-	"context"
-	"os"
-	"os/exec"
-	"path/filepath"
-	"testing"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/backup"
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/objectbackup"
-)
-
-func requireDBTestConfig(t *testing.T) backup.Config {
-	t.Helper()
-	user := os.Getenv("TEST_BACKUP_PG_USER")
-	if user == "" {
-		t.Skip("TEST_BACKUP_PG_USER nicht gesetzt, Integrationstest uebersprungen")
-	}
-	if _, err := exec.LookPath("pg_combinebackup"); err != nil {
-		t.Skip("pg_combinebackup nicht installiert, Integrationstest uebersprungen")
-	}
-	if _, err := exec.LookPath("pg_ctl"); err != nil {
-		t.Skip("pg_ctl nicht installiert, Integrationstest uebersprungen")
-	}
-	return backup.Config{
-		Host:      envOrT("TEST_BACKUP_PG_HOST", "localhost"),
-		Port:      envOrT("TEST_BACKUP_PG_PORT", "5432"),
-		User:      user,
-		Password:  os.Getenv("TEST_BACKUP_PG_PASSWORD"),
-		BackupDir: t.TempDir(),
-	}
-}
-
-func envOrT(key, fallback string) string {
-	if v := os.Getenv(key); v != "" {
-		return v
-	}
-	return fallback
-}
-
-// TestRunDatabaseTest_SucceedsAgainstRealBackup ist Pruefung 1: geplanter
-// Testlauf gegen aktuelle Sicherung erfolgreich durchgefuehrt.
-func TestRunDatabaseTest_SucceedsAgainstRealBackup(t *testing.T) {
-	cfg := requireDBTestConfig(t)
-	ctx, cancel := context.WithTimeout(context.Background(), 60*time.Second)
-	defer cancel()
-
-	genID := backup.NewGenerationID(time.Now())
-	if _, err := backup.FullBackup(ctx, cfg, genID); err != nil {
-		t.Fatalf("fullbackup: %v", err)
-	}
-
-	res := RunDatabaseTest(ctx, cfg, PgConfig{TestPort: "55434"}, t.TempDir())
-	if !res.Success {
-		t.Fatalf("erwartet erfolgreichen testlauf, habe: %+v", res)
-	}
-	if res.Source != genID {
-		t.Fatalf("source = %q, want %q", res.Source, genID)
-	}
-}
-
-// TestRunDatabaseTest_DetectsCorruptedBackup ist Pruefung 2: absichtlich
-// beschaedigte Sicherung laesst den Testlauf sichtbar fehlschlagen.
-func TestRunDatabaseTest_DetectsCorruptedBackup(t *testing.T) {
-	cfg := requireDBTestConfig(t)
-	ctx, cancel := context.WithTimeout(context.Background(), 60*time.Second)
-	defer cancel()
-
-	genID := backup.NewGenerationID(time.Now())
-	manifest, err := backup.FullBackup(ctx, cfg, genID)
-	if err != nil {
-		t.Fatalf("fullbackup: %v", err)
-	}
-
-	// Absichtliche Beschaedigung: base.tar.gz durch Muell ersetzen.
-	tarPath := filepath.Join(filepath.Dir(manifest), backup.BaseTarGzFile)
-	if err := os.WriteFile(tarPath, []byte("das ist kein gueltiges tar.gz"), 0o600); err != nil {
-		t.Fatal(err)
-	}
-
-	res := RunDatabaseTest(ctx, cfg, PgConfig{TestPort: "55435"}, t.TempDir())
-	if res.Success {
-		t.Fatal("erwartet fehlschlag bei beschaedigter sicherung, testlauf meldete erfolg")
-	}
-	if res.Detail == "" {
-		t.Fatal("erwartet aussagekraeftiges detail zum fehlschlag")
-	}
-}
-
-func requireObjTestConfig(t *testing.T) objectbackup.Config {
-	t.Helper()
-	if _, err := exec.LookPath("restic"); err != nil {
-		t.Skip("restic nicht installiert, Integrationstest uebersprungen")
-	}
-	cfg := objectbackup.Config{RepoDir: filepath.Join(t.TempDir(), "repo"), Password: "restoretest-passwort"}
-	if err := objectbackup.InitRepo(context.Background(), cfg); err != nil {
-		t.Fatalf("initrepo: %v", err)
-	}
-	return cfg
-}
-
-// TestRunObjectTest_SucceedsAgainstRealSnapshot ist Pruefung 1 fuer den
-// Objekt-Storage-Teil.
-func TestRunObjectTest_SucceedsAgainstRealSnapshot(t *testing.T) {
-	cfg := requireObjTestConfig(t)
-	ctx := context.Background()
-
-	sourceDir := t.TempDir()
-	if err := os.WriteFile(filepath.Join(sourceDir, "datei.txt"), []byte("inhalt"), 0o600); err != nil {
-		t.Fatal(err)
-	}
-	if _, err := objectbackup.Backup(ctx, cfg, sourceDir); err != nil {
-		t.Fatalf("backup: %v", err)
-	}
-
-	res := RunObjectTest(ctx, cfg, t.TempDir())
-	if !res.Success {
-		t.Fatalf("erwartet erfolgreichen testlauf, habe: %+v", res)
-	}
-}

archive/internal/scrub/checksum.go

@@ -1,57 +0,0 @@
-package scrub
-
-import (
-	"context"
-	"crypto/sha256"
-	"encoding/hex"
-	"fmt"
-	"io"
-	"os"
-	"path/filepath"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// ExpectedChecksums liest file_revisions.checksum_sha256 fuer genau die
-// uebergebenen storage_keys — bewusst eine eigene, minimale Abfrage statt
-// Erweiterung von reconcile.DBEntry (BAK-05 bleibt existenz-only, keine
-// Kopplung an Inhaltspruefungs-Bedarf von BAK-08).
-func ExpectedChecksums(ctx context.Context, pool *pgxpool.Pool, storageKeys []string) (map[string]string, error) {
-	if len(storageKeys) == 0 {
-		return map[string]string{}, nil
-	}
-	rows, err := pool.Query(ctx, `
-		SELECT storage_key, checksum_sha256 FROM file_revisions WHERE storage_key = ANY($1)
-	`, storageKeys)
-	if err != nil {
-		return nil, fmt.Errorf("scrub: erwartete pruefsummen lesen: %w", err)
-	}
-	defer rows.Close()
-
-	out := make(map[string]string, len(storageKeys))
-	for rows.Next() {
-		var key, checksum string
-		if err := rows.Scan(&key, &checksum); err != nil {
-			return nil, fmt.Errorf("scrub: pruefsummen-zeile lesen: %w", err)
-		}
-		out[key] = checksum
-	}
-	return out, rows.Err()
-}
-
-// ActualChecksum liest die Datei unter baseDir/storageKey vollstaendig
-// und berechnet ihren SHA-256 — echte Inhaltspruefung, kein
-// Header-/Groessenvergleich (dieselbe Disziplin wie BAK-01s Verify).
-func ActualChecksum(baseDir, storageKey string) (string, error) {
-	f, err := os.Open(filepath.Join(baseDir, filepath.FromSlash(storageKey)))
-	if err != nil {
-		return "", fmt.Errorf("scrub: objekt lesen: %w", err)
-	}
-	defer func() { _ = f.Close() }()
-
-	h := sha256.New()
-	if _, err := io.Copy(h, f); err != nil {
-		return "", fmt.Errorf("scrub: objekt hashen: %w", err)
-	}
-	return hex.EncodeToString(h.Sum(nil)), nil
-}

archive/internal/scrub/checksum_test.go

@@ -1,94 +0,0 @@
-package scrub
-
-import (
-	"context"
-	"crypto/sha256"
-	"encoding/hex"
-	"os"
-	"path/filepath"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func requireFileRevisionsFixture(t *testing.T) (pool *pgxpool.Pool, userID, docID string) {
-	t.Helper()
-	p := requireTestPool(t)
-	ctx := context.Background()
-	if _, err := p.Exec(ctx, `
-		CREATE EXTENSION IF NOT EXISTS pgcrypto;
-		CREATE TABLE IF NOT EXISTS users (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS documents (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), title TEXT NOT NULL,
-			created_by UUID NOT NULL REFERENCES users(id), created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS file_revisions (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), document_id UUID NOT NULL REFERENCES documents(id) ON DELETE CASCADE,
-			storage_key TEXT NOT NULL, checksum_sha256 TEXT NOT NULL, size_bytes BIGINT NOT NULL,
-			mime_type TEXT NOT NULL, revision_number INTEGER NOT NULL, created_by UUID NOT NULL REFERENCES users(id),
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("file_revisions-fixture: %v", err)
-	}
-	var uid string
-	if err := p.QueryRow(ctx, `INSERT INTO users (email, name) VALUES ('scrub-test@example.test', 'Test') RETURNING id`).Scan(&uid); err != nil {
-		t.Fatalf("testbenutzer anlegen: %v", err)
-	}
-	var did string
-	if err := p.QueryRow(ctx, `INSERT INTO documents (title, created_by) VALUES ('doc', $1) RETURNING id`, uid).Scan(&did); err != nil {
-		t.Fatalf("testdokument anlegen: %v", err)
-	}
-	t.Cleanup(func() { _, _ = p.Exec(context.Background(), `TRUNCATE file_revisions, documents, users CASCADE`) })
-	return p, uid, did
-}
-
-// TestActualChecksum_MatchesRealFileContent ist Nachweis, dass
-// ActualChecksum tatsaechlich den Dateiinhalt liest und hasht (kein
-// Header-/Groessenvergleich).
-func TestActualChecksum_MatchesRealFileContent(t *testing.T) {
-	baseDir := t.TempDir()
-	content := []byte("echter dateiinhalt fuer scrub-test")
-	path := filepath.Join(baseDir, "documents", "x", "revisions", "1")
-	if err := os.MkdirAll(filepath.Dir(path), 0o755); err != nil {
-		t.Fatal(err)
-	}
-	if err := os.WriteFile(path, content, 0o600); err != nil {
-		t.Fatal(err)
-	}
-
-	got, err := ActualChecksum(baseDir, "documents/x/revisions/1")
-	if err != nil {
-		t.Fatalf("actualChecksum: %v", err)
-	}
-	sum := sha256.Sum256(content)
-	want := hex.EncodeToString(sum[:])
-	if got != want {
-		t.Fatalf("checksum = %q, want %q", got, want)
-	}
-}
-
-// TestExpectedChecksums_ReadsRealFileRevisions ist Nachweis gegen echtes
-// Postgres, kein Mock.
-func TestExpectedChecksums_ReadsRealFileRevisions(t *testing.T) {
-	pool, uid, did := requireFileRevisionsFixture(t)
-	ctx := context.Background()
-
-	if _, err := pool.Exec(ctx, `
-		INSERT INTO file_revisions (document_id, storage_key, checksum_sha256, size_bytes, mime_type, revision_number, created_by)
-		VALUES ($1, 'documents/x/revisions/1', 'abc123', 10, 'text/plain', 1, $2)
-	`, did, uid); err != nil {
-		t.Fatalf("testrevision anlegen: %v", err)
-	}
-
-	got, err := ExpectedChecksums(ctx, pool, []string{"documents/x/revisions/1", "documents/fehlt/revisions/1"})
-	if err != nil {
-		t.Fatalf("expectedChecksums: %v", err)
-	}
-	if len(got) != 1 || got["documents/x/revisions/1"] != "abc123" {
-		t.Fatalf("unerwartetes ergebnis: %+v", got)
-	}
-}

archive/internal/scrub/scrub.go

@@ -1,69 +0,0 @@
-// Package scrub implementiert BAK-08: periodische, checksummenbasierte
-// Integritaetspruefung einer Stichprobe existierender Objekte. Baut auf
-// BAK-05 (internal/reconcile) auf, das die deterministisch sortierte
-// Liste bestaetigt existierender Objekte liefert (existenz-only) — scrub
-// fuegt die INHALTSPRUEFUNG hinzu, die BAK-05 bewusst ausspart.
-package scrub
-
-import (
-	"sort"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/reconcile"
-)
-
-// Candidate ist ein fuer den aktuellen Lauf ausgewaehltes Objekt.
-type Candidate struct {
-	StorageKey string
-	DocumentID string
-	RevisionID string
-}
-
-// Sample waehlt aus existing (BAK-05s existing_in_storage, bereits nach
-// StorageKey sortiert) die naechste Stichprobe: Objekte, die noch nie
-// oder vor mehr als cooldown geprueft wurden (last_scrubbed via
-// storage_key -> last_scrubbed_at aus scrub_state), begrenzt auf
-// sampleSize. Reine Funktion, deterministisch bei gleicher Eingabe (fixe
-// Reihenfolge von existing, kein Zufall) — Akzeptanzkriterium
-// "Sampling priorisiert alte, unveraenderte Objekte": ein nie/am
-// laengsten nicht geprueftes Objekt hat KEINEN last_scrubbed-Eintrag oder
-// den aeltesten, beides erscheint zuerst in "existing", das seinerseits
-// nach StorageKey sortiert ist — daher wird zusaetzlich vor der
-// Groessenbegrenzung nach last_scrubbed_at aufsteigend sortiert (nie
-// geprueft = aeltestmoeglicher Wert), damit tatsaechlich das am laengsten
-// nicht verifizierte Objekt zuerst drankommt, nicht nur alphabetisch nach
-// Schluessel.
-func Sample(existing []reconcile.Finding, lastScrubbed map[string]time.Time, cooldown time.Duration, sampleSize int, now time.Time) []Candidate {
-	type scored struct {
-		f    reconcile.Finding
-		last time.Time
-	}
-	var due []scored
-	for _, f := range existing {
-		last, ok := lastScrubbed[f.StorageKey]
-		if ok && now.Sub(last) < cooldown {
-			continue // erst kuerzlich geprueft, ueberspringen
-		}
-		if !ok {
-			last = time.Time{} // nie geprueft = aeltestmoeglicher Wert, kommt zuerst
-		}
-		due = append(due, scored{f: f, last: last})
-	}
-
-	sort.SliceStable(due, func(i, j int) bool {
-		if !due[i].last.Equal(due[j].last) {
-			return due[i].last.Before(due[j].last)
-		}
-		return due[i].f.StorageKey < due[j].f.StorageKey // Tie-Break deterministisch
-	})
-
-	if sampleSize >= 0 && len(due) > sampleSize {
-		due = due[:sampleSize]
-	}
-
-	out := make([]Candidate, 0, len(due))
-	for _, d := range due {
-		out = append(out, Candidate{StorageKey: d.f.StorageKey, DocumentID: d.f.DocumentID, RevisionID: d.f.RevisionID})
-	}
-	return out
-}

archive/internal/scrub/scrub_test.go

@@ -1,95 +0,0 @@
-package scrub
-
-import (
-	"testing"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/archive/internal/reconcile"
-)
-
-var now = time.Date(2026, 8, 29, 12, 0, 0, 0, time.UTC)
-
-// TestSample_PrioritizesNeverScrubbedAndOldest ist der Nachweis fuer das
-// GoBD-Akzeptanzkriterium: nie geprueft ODER am laengsten nicht geprueft
-// kommt zuerst, nicht bloss alphabetisch nach StorageKey.
-func TestSample_PrioritizesNeverScrubbedAndOldest(t *testing.T) {
-	existing := []reconcile.Finding{
-		{StorageKey: "documents/a/revisions/r1"}, // vor 1 tag geprueft
-		{StorageKey: "documents/b/revisions/r1"}, // nie geprueft
-		{StorageKey: "documents/c/revisions/r1"}, // vor 30 tagen geprueft (aeltest)
-	}
-	lastScrubbed := map[string]time.Time{
-		"documents/a/revisions/r1": now.Add(-24 * time.Hour),
-		"documents/c/revisions/r1": now.Add(-30 * 24 * time.Hour),
-	}
-
-	got := Sample(existing, lastScrubbed, time.Hour, 2, now)
-
-	if len(got) != 2 {
-		t.Fatalf("erwartet 2 kandidaten, habe %d: %+v", len(got), got)
-	}
-	// "nie geprueft" (b) zaehlt als aeltestmoeglich, kommt vor "vor 30 tagen" (c).
-	if got[0].StorageKey != "documents/b/revisions/r1" || got[1].StorageKey != "documents/c/revisions/r1" {
-		t.Fatalf("falsche prioritaet, want [b, c], habe %+v", got)
-	}
-}
-
-// TestSample_RespectsCooldown ist der Nachweis, dass kuerzlich gepruefte
-// Objekte NICHT erneut ausgewaehlt werden — sonst wuerde dieselbe Gruppe
-// dauernd gescrubbt (genau der Fehler, den die Alt-Priorisierung
-// verhindern soll).
-func TestSample_RespectsCooldown(t *testing.T) {
-	existing := []reconcile.Finding{
-		{StorageKey: "documents/a/revisions/r1"},
-		{StorageKey: "documents/b/revisions/r1"},
-	}
-	lastScrubbed := map[string]time.Time{
-		"documents/a/revisions/r1": now.Add(-1 * time.Hour), // innerhalb cooldown
-	}
-
-	got := Sample(existing, lastScrubbed, 24*time.Hour, 10, now)
-
-	if len(got) != 1 || got[0].StorageKey != "documents/b/revisions/r1" {
-		t.Fatalf("erwartet nur b (a innerhalb cooldown), habe %+v", got)
-	}
-}
-
-// TestSample_LimitsToSampleSize ist der Nachweis, dass die
-// Stichprobengroesse tatsaechlich begrenzt (kein Voll-Scrub jeden Lauf).
-func TestSample_LimitsToSampleSize(t *testing.T) {
-	existing := []reconcile.Finding{
-		{StorageKey: "documents/a/revisions/r1"},
-		{StorageKey: "documents/b/revisions/r1"},
-		{StorageKey: "documents/c/revisions/r1"},
-	}
-
-	got := Sample(existing, map[string]time.Time{}, time.Hour, 1, now)
-
-	if len(got) != 1 {
-		t.Fatalf("erwartet genau 1 kandidat, habe %d", len(got))
-	}
-}
-
-// TestSample_DeterministicForIdenticalInput ist der Nachweis, dass zwei
-// Laeufe mit identischer Eingabe dieselbe Reihenfolge liefern (kein
-// Zufall im Sampling).
-func TestSample_DeterministicForIdenticalInput(t *testing.T) {
-	existing := []reconcile.Finding{
-		{StorageKey: "documents/a/revisions/r1"},
-		{StorageKey: "documents/b/revisions/r1"},
-		{StorageKey: "documents/c/revisions/r1"},
-	}
-	lastScrubbed := map[string]time.Time{}
-
-	first := Sample(existing, lastScrubbed, time.Hour, 2, now)
-	second := Sample(existing, lastScrubbed, time.Hour, 2, now)
-
-	if len(first) != len(second) {
-		t.Fatal("unterschiedliche anzahl zwischen zwei laeufen mit identischer eingabe")
-	}
-	for i := range first {
-		if first[i].StorageKey != second[i].StorageKey {
-			t.Fatalf("reihenfolge nicht deterministisch: lauf1=%+v lauf2=%+v", first, second)
-		}
-	}
-}

archive/internal/scrub/state.go

@@ -1,74 +0,0 @@
-package scrub
-
-import (
-	"context"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// LoadLastScrubbed liefert je storage_key den Zeitpunkt der letzten
-// Pruefung — Grundlage fuer Sample's Cooldown-Filter.
-func LoadLastScrubbed(ctx context.Context, pool *pgxpool.Pool) (map[string]time.Time, error) {
-	rows, err := pool.Query(ctx, `SELECT storage_key, last_scrubbed_at FROM scrub_state`)
-	if err != nil {
-		return nil, fmt.Errorf("scrub: scrub_state lesen: %w", err)
-	}
-	defer rows.Close()
-
-	out := make(map[string]time.Time)
-	for rows.Next() {
-		var key string
-		var ts time.Time
-		if err := rows.Scan(&key, &ts); err != nil {
-			return nil, fmt.Errorf("scrub: scrub_state-zeile lesen: %w", err)
-		}
-		out[key] = ts
-	}
-	return out, rows.Err()
-}
-
-// MarkScrubbed vermerkt Ergebnis und Zeitpunkt der Pruefung eines
-// Objekts — idempotent (ON CONFLICT), damit ein unterbrochener und neu
-// gestarteter Lauf keinen inkonsistenten Zustand hinterlaesst
-// (Akzeptanzkriterium: Lauf ist unterbrechbar ohne inkonsistenten
-// Zustand).
-func MarkScrubbed(ctx context.Context, pool *pgxpool.Pool, storageKey string, ok bool, at time.Time) error {
-	result := "ok"
-	if !ok {
-		result = "failed"
-	}
-	_, err := pool.Exec(ctx, `
-		INSERT INTO scrub_state (storage_key, last_scrubbed_at, last_result)
-		VALUES ($1, $2, $3)
-		ON CONFLICT (storage_key) DO UPDATE SET last_scrubbed_at = $2, last_result = $3
-	`, storageKey, at, result)
-	if err != nil {
-		return fmt.Errorf("scrub: scrub_state schreiben: %w", err)
-	}
-	return nil
-}
-
-// RecordFinding erhoeht den monoton steigenden Befund-Zaehler
-// (scrub_counters.findings_total) um genau 1 — als gueltiger Prometheus-
-// Counter darf dieser Wert nur steigen, niemals sinken, auch wenn ein
-// Befund spaeter behoben wird.
-func RecordFinding(ctx context.Context, pool *pgxpool.Pool) error {
-	_, err := pool.Exec(ctx, `UPDATE scrub_counters SET findings_total = findings_total + 1 WHERE id = 1`)
-	if err != nil {
-		return fmt.Errorf("scrub: befund-zaehler erhoehen: %w", err)
-	}
-	return nil
-}
-
-// FindingsTotal liest den aktuellen Zaehlerstand — genutzt vom
-// /metrics-Endpunkt (cmd/scrub-metrics).
-func FindingsTotal(ctx context.Context, pool *pgxpool.Pool) (int64, error) {
-	var total int64
-	err := pool.QueryRow(ctx, `SELECT findings_total FROM scrub_counters WHERE id = 1`).Scan(&total)
-	if err != nil {
-		return 0, fmt.Errorf("scrub: befund-zaehler lesen: %w", err)
-	}
-	return total, nil
-}

archive/internal/scrub/state_test.go

@@ -1,92 +0,0 @@
-package scrub
-
-import (
-	"context"
-	"os"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func requireTestPool(t *testing.T) *pgxpool.Pool {
-	t.Helper()
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS scrub_state (
-			storage_key TEXT PRIMARY KEY, last_scrubbed_at TIMESTAMPTZ NOT NULL,
-			last_result TEXT NOT NULL CHECK (last_result IN ('ok', 'failed'))
-		);
-		CREATE TABLE IF NOT EXISTS scrub_counters (
-			id INTEGER PRIMARY KEY DEFAULT 1 CHECK (id = 1), findings_total BIGINT NOT NULL DEFAULT 0
-		);
-		INSERT INTO scrub_counters (id, findings_total) VALUES (1, 0) ON CONFLICT (id) DO NOTHING;
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `TRUNCATE scrub_state; UPDATE scrub_counters SET findings_total = 0 WHERE id = 1`)
-	})
-	return pool
-}
-
-// TestMarkScrubbed_IsIdempotent ist Nachweis fuer "Lauf ist idempotent und
-// unterbrechbar ohne inkonsistenten Zustand": derselbe storage_key kann
-// beliebig oft neu markiert werden, es entsteht kein Duplikat/Fehler.
-func TestMarkScrubbed_IsIdempotent(t *testing.T) {
-	pool := requireTestPool(t)
-	ctx := context.Background()
-	key := "documents/x/revisions/1"
-
-	if err := MarkScrubbed(ctx, pool, key, true, time.Now().UTC()); err != nil {
-		t.Fatalf("erster markScrubbed: %v", err)
-	}
-	second := time.Now().UTC().Add(time.Hour)
-	if err := MarkScrubbed(ctx, pool, key, false, second); err != nil {
-		t.Fatalf("zweiter markScrubbed (ueberschreibt): %v", err)
-	}
-
-	last, err := LoadLastScrubbed(ctx, pool)
-	if err != nil {
-		t.Fatalf("loadLastScrubbed: %v", err)
-	}
-	if len(last) != 1 {
-		t.Fatalf("erwartet genau 1 eintrag (kein duplikat), habe %d", len(last))
-	}
-	// Postgres timestamptz rundet auf Mikrosekunden, Go time.Time hat
-	// Nanosekunden-Praezision - Vergleich daher auf Mikrosekunden gerundet.
-	if !last[key].Truncate(time.Microsecond).Equal(second.Truncate(time.Microsecond)) {
-		t.Fatalf("last_scrubbed_at nicht ueberschrieben: %v, want %v", last[key], second)
-	}
-}
-
-// TestRecordFinding_IsMonotonicallyIncreasing ist Nachweis, dass der
-// Zaehler ein gueltiger Prometheus-Counter ist (steigt nur, sinkt nie).
-func TestRecordFinding_IsMonotonicallyIncreasing(t *testing.T) {
-	pool := requireTestPool(t)
-	ctx := context.Background()
-
-	for i := 0; i < 3; i++ {
-		if err := RecordFinding(ctx, pool); err != nil {
-			t.Fatalf("recordFinding: %v", err)
-		}
-	}
-
-	total, err := FindingsTotal(ctx, pool)
-	if err != nil {
-		t.Fatalf("findingsTotal: %v", err)
-	}
-	if total != 3 {
-		t.Fatalf("erwartet 3, habe %d", total)
-	}
-}

archive/migrations/0001_scrub_state.down.sql

@@ -1,2 +0,0 @@
-DROP TABLE IF EXISTS scrub_counters;
-DROP TABLE IF EXISTS scrub_state;

archive/migrations/0001_scrub_state.up.sql

@@ -1,21 +0,0 @@
--- BAK-08: Zustand des Integritaets-Scrub-Jobs. Getrennt von file_revisions
--- (DMS-Eigentum, nur lesend zugegriffen) und getrennt von BAK-05s
--- reconcile-Paket (existenz-only, keine Inhaltspruefung) — eigener,
--- Archive-eigener Zustand ueber ZULETZT geprueften Zeitpunkt je Objekt,
--- damit Sampling rotiert statt dieselben "aeltesten" Objekte auf ewig
--- erneut zu ziehen.
-CREATE TABLE IF NOT EXISTS scrub_state (
-    storage_key      TEXT PRIMARY KEY,
-    last_scrubbed_at TIMESTAMPTZ NOT NULL,
-    last_result      TEXT NOT NULL CHECK (last_result IN ('ok', 'failed'))
-);
-
--- Einzelne Zeile, monoton steigender Zaehler fuer den OPS-05/OPS-03-
--- Metrik-Export (Counter, nie ruecksetzbar — ein behobener Befund darf den
--- Zaehler nicht wieder senken, sonst waere es kein gueltiger Prometheus-
--- Counter mehr).
-CREATE TABLE IF NOT EXISTS scrub_counters (
-    id             INTEGER PRIMARY KEY DEFAULT 1 CHECK (id = 1),
-    findings_total BIGINT NOT NULL DEFAULT 0
-);
-INSERT INTO scrub_counters (id, findings_total) VALUES (1, 0) ON CONFLICT (id) DO NOTHING;

cmd/auditlog-devserver/main.go

@@ -0,0 +1,69 @@
+// auditlog-devserver stellt AUD-03s ExportHandler (internal/audit) fuer die
+// Next.js-Audit-Log-Ansicht (AUD-04) bereit. Getrennt von cmd/core aus
+// demselben Grund wie die anderen *-devserver (siehe LIC-04/TEN-05): echte
+// Auth/RBAC ist noch nicht in die zentrale Server-Topologie verdrahtet.
+//
+// Authorize wird hier mit einem geteilten Admin-Token ueber
+// crypto/subtle.ConstantTimeCompare umgesetzt — demselben Timing-safe-Muster
+// wie internal/audit.timingsafe (AUD-02), NICHT ueber eine neue
+// Rollen-/Rechteschicht, da diese Kachel ausdruecklich nur von AUD-03
+// abhaengt und keine Rechteverwaltung duplizieren soll.
+package main
+
+import (
+	"context"
+	"log"
+	"net/http"
+	"os"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/audit"
+	"gitea.perlbach24.de/scripte/nexarch/internal/auditadmin"
+	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+)
+
+func main() {
+	dsn := os.Getenv("NEXARCH_REGISTRY_DSN")
+	if dsn == "" {
+		log.Fatal("NEXARCH_REGISTRY_DSN nicht gesetzt")
+	}
+	adminToken := os.Getenv("NEXARCH_AUDIT_ADMIN_TOKEN")
+	if adminToken == "" {
+		log.Fatal("NEXARCH_AUDIT_ADMIN_TOKEN nicht gesetzt")
+	}
+	addr := os.Getenv("NEXARCH_AUDITLOG_LISTEN_ADDR")
+	if addr == "" {
+		addr = ":8083"
+	}
+
+	ctx := context.Background()
+	pool, err := db.Connect(ctx, dsn)
+	if err != nil {
+		log.Fatalf("db: %v", err)
+	}
+	defer pool.Close()
+
+	auditLog := audit.NewLog(pool)
+	tokenAuthorize := auditadmin.NewTokenAuthorizer(adminToken)
+	authorize := func(_ context.Context, caller string) bool { return tokenAuthorize(caller) }
+	handler := audit.NewExportHandler(auditLog, authorize)
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/audit/export", withCORS(handler.Export))
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("auditlog-devserver listening on %s", addr)
+	log.Fatal(http.ListenAndServe(addr, mux))
+}
+
+func withCORS(next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		w.Header().Set("Access-Control-Allow-Origin", "*")
+		w.Header().Set("Access-Control-Allow-Methods", "GET, OPTIONS")
+		w.Header().Set("Access-Control-Allow-Headers", "Content-Type")
+		if r.Method == http.MethodOptions {
+			w.WriteHeader(http.StatusOK)
+			return
+		}
+		next(w, r)
+	}
+}

cmd/core/main.go

@@ -7,6 +7,8 @@ import (
 
 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 
 func main() {
@@ -15,16 +17,41 @@ func main() {
 		log.Fatalf("config: %v", err)
 	}
 
-	pool, err := db.Connect(context.Background(), cfg.RegistryDSN)
+	ctx := context.Background()
+
+	registryPool, err := db.Connect(ctx, cfg.RegistryDSN)
 	if err != nil {
-		log.Fatalf("db: %v", err)
+		log.Fatalf("registry db: %v", err)
 	}
-	defer pool.Close()
+	defer registryPool.Close()
+
+	adminPool, err := db.Connect(ctx, cfg.AdminDSN)
+	if err != nil {
+		log.Fatalf("admin db: %v", err)
+	}
+	defer adminPool.Close()
+
+	registry := tenant.NewRegistry(registryPool)
+	provisioner := tenant.NewProvisioner(adminPool, registry, cfg.TenantDSNTemplate)
+	tenantHandler := tenant.NewHandler(provisioner)
+	onboardingService := tenant.NewOnboardingService(provisioner, cfg.TenantSchemaPath)
+	onboardingHandler := tenant.NewOnboardingHandler(onboardingService)
+
+	// Superadmin-Konten leben mandantenuebergreifend in der Registry-DB.
+	// Tenant-User-CRUD (user.TenantUserStore) braucht Connection-Routing pro
+	// Mandant (TEN-06, noch nicht gebaut) und wird hier bewusst noch nicht
+	// verdrahtet — Package ist bereits eigenstaendig nutzbar/testbar.
+	superadmins := user.NewSuperadminStore(registryPool)
+	userHandler := user.NewHandler(nil, superadmins)
 
 	mux := http.NewServeMux()
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
+	// Vorlaeufige Pfade ohne Versionierung/Auth — werden mit API-01/IAM-02 abgeloest.
+	mux.HandleFunc("/internal/tenants", tenantHandler.CreateTenant)
+	mux.HandleFunc("/internal/tenants/onboard", onboardingHandler.Onboard)
+	mux.HandleFunc("/internal/superadmins", userHandler.CreateSuperadmin)
 
 	log.Printf("nexarch-core listening on %s", cfg.ListenAddr)
 	if err := http.ListenAndServe(cfg.ListenAddr, mux); err != nil {

cmd/licadmin-devserver/main.go

@@ -0,0 +1,81 @@
+// licadmin-devserver stellt das LIC-04-Backend-API (internal/adminapi) fuer
+// die Next.js-Verwaltungsoberflaeche bereit. Getrennt von cmd/core, da die
+// Verdrahtung von license.Validator (Ed25519-Public-Key) in die zentrale
+// Server-Topologie erst mit API-01/IAM-01 (Auth vor internen Endpunkten)
+// sinnvoll ist — dieser Server dient der Entwicklung/dem Betrieb der
+// Verwaltungsoberflaeche gegen eine echte Datenbank, ohne cmd/core
+// anzufassen (Kein Umbau angrenzender Bereiche).
+package main
+
+import (
+	"context"
+	"crypto/ed25519"
+	"encoding/base64"
+	"log"
+	"net/http"
+	"os"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/adminapi"
+	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/license"
+	"gitea.perlbach24.de/scripte/nexarch/internal/usage"
+)
+
+func main() {
+	dsn := os.Getenv("NEXARCH_REGISTRY_DSN")
+	if dsn == "" {
+		log.Fatal("NEXARCH_REGISTRY_DSN nicht gesetzt")
+	}
+	pubKeyB64 := os.Getenv("NEXARCH_LICENSE_PUBLIC_KEY")
+	if pubKeyB64 == "" {
+		log.Fatal("NEXARCH_LICENSE_PUBLIC_KEY nicht gesetzt (base64, raw-url-encoding)")
+	}
+	pubKeyRaw, err := base64.RawURLEncoding.DecodeString(pubKeyB64)
+	if err != nil || len(pubKeyRaw) != ed25519.PublicKeySize {
+		log.Fatalf("NEXARCH_LICENSE_PUBLIC_KEY ungueltig: %v", err)
+	}
+
+	addr := os.Getenv("NEXARCH_LICADMIN_LISTEN_ADDR")
+	if addr == "" {
+		addr = ":8081"
+	}
+
+	ctx := context.Background()
+	pool, err := db.Connect(ctx, dsn)
+	if err != nil {
+		log.Fatalf("db: %v", err)
+	}
+	defer pool.Close()
+
+	licenseStore := license.NewStore(pool, license.NewValidator(ed25519.PublicKey(pubKeyRaw)))
+	flagStore := flag.NewStore(pool)
+	flagService := flag.NewService(flagStore, 5*time.Second)
+	usageStore := usage.NewStore(pool)
+	handler := adminapi.NewHandler(licenseStore, flagStore, flagService, usageStore)
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/admin/overview", withCORS(handler.OverviewHandler))
+	mux.HandleFunc("/admin/flags/toggle", withCORS(handler.ToggleFlagHandler))
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("licadmin-devserver listening on %s", addr)
+	log.Fatal(http.ListenAndServe(addr, mux))
+}
+
+// withCORS erlaubt lokale Entwicklung des Next.js-Frontends auf einem
+// anderen Port als das Backend-API — ausschliesslich fuer diesen
+// Entwicklungsserver, keine Produktionshaertung.
+func withCORS(next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		w.Header().Set("Access-Control-Allow-Origin", "*")
+		w.Header().Set("Access-Control-Allow-Methods", "GET, POST, OPTIONS")
+		w.Header().Set("Access-Control-Allow-Headers", "Content-Type")
+		if r.Method == http.MethodOptions {
+			w.WriteHeader(http.StatusOK)
+			return
+		}
+		next(w, r)
+	}
+}

cmd/metrics-devserver/main.go

@@ -0,0 +1,43 @@
+// metrics-devserver stellt den OPS-03-Metrics-Aggregator (internal/metrics)
+// unter /metrics bereit, damit ein echter Prometheus-Scrape-Vorgang gegen
+// den Core-Dienst geprueft werden kann (Pruefung 3). Getrennt von cmd/core
+// aus demselben Grund wie die anderen *-devserver.
+package main
+
+import (
+	"context"
+	"log"
+	"net/http"
+	"os"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/metrics"
+)
+
+func main() {
+	dsn := os.Getenv("NEXARCH_REGISTRY_DSN")
+	if dsn == "" {
+		log.Fatal("NEXARCH_REGISTRY_DSN nicht gesetzt")
+	}
+	addr := os.Getenv("NEXARCH_METRICS_LISTEN_ADDR")
+	if addr == "" {
+		addr = ":8085"
+	}
+
+	ctx := context.Background()
+	pool, err := db.Connect(ctx, dsn)
+	if err != nil {
+		log.Fatalf("db: %v", err)
+	}
+	defer pool.Close()
+
+	sourceStore := metrics.NewSourceStore(pool)
+	agg := metrics.NewAggregator(metrics.NewCoreRegistry(), sourceStore.Provide)
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/metrics", agg.Handler())
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("metrics-devserver listening on %s", addr)
+	log.Fatal(http.ListenAndServe(addr, mux))
+}

cmd/secheaders-devserver/main.go

@@ -0,0 +1,40 @@
+// secheaders-devserver dient der manuellen/e2e-Verifikation von API-08
+// (Pruefung 2: CSP blockiert Inline-Script) mit einem echten Browser.
+// Zwei Pfade: /protected (mit Middleware) und /unprotected (ohne) — beide
+// liefern dieselbe Seite mit einem Inline-Script, das ein DOM-Element
+// aendert. Ein echter Browser zeigt den Unterschied.
+package main
+
+import (
+	"log"
+	"net/http"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/secheaders"
+)
+
+const page = `<!doctype html>
+<html><body>
+<div id="marker">BLOCKED</div>
+<script>document.getElementById('marker').textContent = 'INLINE_RAN';</script>
+</body></html>`
+
+func servePage(w http.ResponseWriter, r *http.Request) {
+	w.Header().Set("Content-Type", "text/html; charset=utf-8")
+	_, _ = w.Write([]byte(page))
+}
+
+func main() {
+	cfg := secheaders.DefaultConfig()
+	mux := http.NewServeMux()
+	// SetHeaders statt Middleware: dieser lokale Demo-Server laeuft ohne
+	// TLS-Terminierung, der HTTPS-Redirect-Teil von Middleware wuerde hier
+	// in eine Endlosschleife fuehren (siehe secheaders.go-Dokumentation).
+	mux.HandleFunc("/protected", func(w http.ResponseWriter, r *http.Request) {
+		secheaders.SetHeaders(cfg, w)
+		servePage(w, r)
+	})
+	mux.HandleFunc("/unprotected", servePage)
+
+	log.Println("secheaders-devserver listening on :8086")
+	log.Fatal(http.ListenAndServe(":8086", mux))
+}

cmd/statuspage-devserver/main.go

@@ -0,0 +1,66 @@
+// statuspage-devserver stellt das OPS-02-Backend (internal/statuspage) fuer
+// die Next.js-Statusseite bereit und startet den periodischen Poller.
+// Getrennt von cmd/core aus demselben Grund wie die anderen *-devserver.
+package main
+
+import (
+	"context"
+	"log"
+	"net/http"
+	"os"
+	"strconv"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/statuspage"
+)
+
+func main() {
+	dsn := os.Getenv("NEXARCH_REGISTRY_DSN")
+	if dsn == "" {
+		log.Fatal("NEXARCH_REGISTRY_DSN nicht gesetzt")
+	}
+	addr := os.Getenv("NEXARCH_STATUSPAGE_LISTEN_ADDR")
+	if addr == "" {
+		addr = ":8084"
+	}
+	intervalSeconds := 10
+	if v := os.Getenv("NEXARCH_STATUSPAGE_POLL_INTERVAL_SECONDS"); v != "" {
+		if parsed, err := strconv.Atoi(v); err == nil {
+			intervalSeconds = parsed
+		}
+	}
+
+	ctx := context.Background()
+	pool, err := db.Connect(ctx, dsn)
+	if err != nil {
+		log.Fatalf("db: %v", err)
+	}
+	defer pool.Close()
+
+	store := statuspage.NewStore(pool)
+	checker := statuspage.NewHTTPChecker(2 * time.Second)
+	poller := statuspage.NewPoller(store, checker)
+	go poller.Run(ctx, time.Duration(intervalSeconds)*time.Second)
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/status/overview", withCORS(store.OverviewHandler))
+	mux.HandleFunc("/status/history", withCORS(store.HistoryHandler))
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("statuspage-devserver listening on %s (poll-intervall: %ds)", addr, intervalSeconds)
+	log.Fatal(http.ListenAndServe(addr, mux))
+}
+
+func withCORS(next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		w.Header().Set("Access-Control-Allow-Origin", "*")
+		w.Header().Set("Access-Control-Allow-Methods", "GET, OPTIONS")
+		w.Header().Set("Access-Control-Allow-Headers", "Content-Type")
+		if r.Method == http.MethodOptions {
+			w.WriteHeader(http.StatusOK)
+			return
+		}
+		next(w, r)
+	}
+}

cmd/tenantadmin-devserver/main.go

@@ -0,0 +1,67 @@
+// tenantadmin-devserver stellt das TEN-05-Backend-API (internal/tenantadmin)
+// fuer die Next.js-Tenant-Verwaltungsoberflaeche bereit. Getrennt von
+// cmd/core aus demselben Grund wie cmd/licadmin-devserver (siehe LIC-04):
+// echte Auth (IAM-01/IAM-02) ist noch nicht in die zentrale Server-Topologie
+// verdrahtet, dieser Server dient Entwicklung/Betrieb der Oberflaeche gegen
+// eine echte Datenbank, ohne cmd/core anzufassen.
+package main
+
+import (
+	"context"
+	"log"
+	"net/http"
+	"os"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenantadmin"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenantsettings"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+func main() {
+	dsn := os.Getenv("NEXARCH_REGISTRY_DSN")
+	if dsn == "" {
+		log.Fatal("NEXARCH_REGISTRY_DSN nicht gesetzt")
+	}
+	addr := os.Getenv("NEXARCH_TENANTADMIN_LISTEN_ADDR")
+	if addr == "" {
+		addr = ":8082"
+	}
+
+	ctx := context.Background()
+	pool, err := db.Connect(ctx, dsn)
+	if err != nil {
+		log.Fatalf("db: %v", err)
+	}
+	defer pool.Close()
+
+	registry := tenant.NewRegistry(pool)
+	lifecycle := tenant.NewLifecycle(registry, pool)
+	settingsStore := tenantsettings.NewStore(pool)
+	superadmins := user.NewSuperadminStore(pool)
+	handler := tenantadmin.NewHandler(registry, lifecycle, settingsStore, superadmins)
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/admin/tenants", withCORS(handler.ListTenantsHandler))
+	mux.HandleFunc("/admin/tenants/detail", withCORS(handler.TenantDetailHandler))
+	mux.HandleFunc("/admin/tenants/settings", withCORS(handler.UpdateSettingsHandler))
+	mux.HandleFunc("/admin/tenants/lifecycle", withCORS(handler.LifecycleActionHandler))
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	log.Printf("tenantadmin-devserver listening on %s", addr)
+	log.Fatal(http.ListenAndServe(addr, mux))
+}
+
+func withCORS(next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		w.Header().Set("Access-Control-Allow-Origin", "*")
+		w.Header().Set("Access-Control-Allow-Methods", "GET, POST, OPTIONS")
+		w.Header().Set("Access-Control-Allow-Headers", "Content-Type")
+		if r.Method == http.MethodOptions {
+			w.WriteHeader(http.StatusOK)
+			return
+		}
+		next(w, r)
+	}
+}

deploy/gen-ed25519-keypair.go

@@ -0,0 +1,22 @@
+// gen-ed25519-keypair erzeugt ein Ed25519-Schluesselpaar fuer die
+// Lizenzsignatur (LIC-01/LIC-04) und gibt beide Teile base64-raw-url-
+// kodiert aus — dasselbe Format, das internal/license.NewIssuer/NewValidator
+// erwarten. Nur vom Installer (deploy/install.sh) verwendet.
+package main
+
+import (
+	"crypto/ed25519"
+	"crypto/rand"
+	"encoding/base64"
+	"fmt"
+	"log"
+)
+
+func main() {
+	pub, priv, err := ed25519.GenerateKey(rand.Reader)
+	if err != nil {
+		log.Fatal(err)
+	}
+	fmt.Printf("PUBLIC=%s\n", base64.RawURLEncoding.EncodeToString(pub))
+	fmt.Printf("PRIVATE=%s\n", base64.RawURLEncoding.EncodeToString(priv))
+}

deploy/install.sh

@@ -0,0 +1,150 @@
+#!/usr/bin/env bash
+# NEXARCH Core – Installer/Deployer fuer eine Debian/systemd-Zielumgebung.
+#
+# Baut alle Core-Binaries (cmd/core + die *-devserver), legt Postgres-Rolle
+# und Registry-Datenbank an (falls nicht vorhanden), wendet die
+# Registry-Migrationen an, generiert Secrets (falls nicht vorhanden) und
+# installiert+startet jeden Dienst als eigenen systemd-Service.
+#
+# Idempotent: mehrfacher Aufruf ist sicher — vorhandene Rolle/DB/Secrets
+# werden nicht ueberschrieben, Migrationen nur angewendet, wenn die
+# Registry-DB noch leer ist (siehe Abschnitt "Migrationen" unten).
+#
+# Aufruf (als root): ./deploy/install.sh
+#
+# Ueberschreibbar per Umgebungsvariable:
+#   NEXARCH_INSTALL_DIR      (Default: /opt/nexarch-core)
+#   NEXARCH_PG_ROLE          (Default: nexarch_core)
+#   NEXARCH_PG_REGISTRY_DB   (Default: nexarch_registry)
+#   NEXARCH_BRANCH           (Default: aktueller Branch dieses Checkouts)
+set -euo pipefail
+
+INSTALL_DIR="${NEXARCH_INSTALL_DIR:-/opt/nexarch-core}"
+PG_ROLE="${NEXARCH_PG_ROLE:-nexarch_core}"
+PG_DB="${NEXARCH_PG_REGISTRY_DB:-nexarch_registry}"
+ENV_FILE=/etc/nexarch/core.env
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+REPO_ROOT="$(cd "$SCRIPT_DIR/.." && pwd)"
+
+if [ "$(id -u)" -ne 0 ]; then
+	echo "Bitte als root ausfuehren (legt Systembenutzer, systemd-Units und Postgres-Rolle an)." >&2
+	exit 1
+fi
+
+echo "== 1. Systembenutzer =="
+if ! id nexarch >/dev/null 2>&1; then
+	useradd --system --no-create-home --shell /usr/sbin/nologin nexarch
+	echo "Benutzer 'nexarch' angelegt."
+else
+	echo "Benutzer 'nexarch' existiert bereits."
+fi
+
+echo "== 2. Postgres-Rolle und Registry-Datenbank =="
+if ! sudo -u postgres psql -tAc "SELECT 1 FROM pg_roles WHERE rolname = '${PG_ROLE}'" | grep -q 1; then
+	PG_PASSWORD="$(openssl rand -hex 24)"
+	sudo -u postgres psql -v ON_ERROR_STOP=1 -c "CREATE ROLE ${PG_ROLE} WITH LOGIN PASSWORD '${PG_PASSWORD}';"
+	echo "Rolle '${PG_ROLE}' angelegt."
+else
+	echo "Rolle '${PG_ROLE}' existiert bereits — Passwort wird NICHT neu gesetzt (siehe ${ENV_FILE} fuer das vorhandene)."
+	PG_PASSWORD=""
+fi
+
+if ! sudo -u postgres psql -tAc "SELECT 1 FROM pg_database WHERE datname = '${PG_DB}'" | grep -q 1; then
+	sudo -u postgres psql -v ON_ERROR_STOP=1 -c "CREATE DATABASE ${PG_DB} OWNER ${PG_ROLE};"
+	echo "Datenbank '${PG_DB}' angelegt."
+else
+	echo "Datenbank '${PG_DB}' existiert bereits."
+fi
+# Fuer Tenant-Provisioning (CREATE DATABASE pro Mandant, Modell C) braucht
+# die Rolle CREATEDB-Recht auf der physischen Postgres-Instanz.
+sudo -u postgres psql -v ON_ERROR_STOP=1 -c "ALTER ROLE ${PG_ROLE} WITH CREATEDB;" >/dev/null
+
+echo "== 3. Secrets/Konfiguration =="
+mkdir -p /etc/nexarch
+if [ ! -f "$ENV_FILE" ]; then
+	if [ -z "${PG_PASSWORD}" ]; then
+		echo "FEHLER: Rolle existierte bereits, aber ${ENV_FILE} fehlt — Passwort kann nicht rekonstruiert werden." >&2
+		echo "Entweder ${ENV_FILE} von Hand mit dem bekannten Passwort anlegen, oder die Rolle droppen und erneut installieren." >&2
+		exit 1
+	fi
+
+	AUDIT_ADMIN_TOKEN="$(openssl rand -hex 32)"
+
+	# Ed25519-Schluesselpaar fuer die Lizenzsignatur (LIC-01/LIC-04):
+	# licadmin-devserver prueft Lizenzen nur mit dem OEFFENTLICHEN Schluessel,
+	# der private Schluessel wird NICHT deployt, sondern separat fuer das
+	# (noch zu bauende) offline Lizenz-Ausstellungswerkzeug aufbewahrt.
+	KEYPAIR_DIR=/etc/nexarch/license-signing
+	mkdir -p "$KEYPAIR_DIR"
+	chmod 700 "$KEYPAIR_DIR"
+	if [ ! -f "$KEYPAIR_DIR/private.b64" ]; then
+		go run "$SCRIPT_DIR/gen-ed25519-keypair.go" > "$KEYPAIR_DIR/keypair.txt"
+		grep '^PRIVATE=' "$KEYPAIR_DIR/keypair.txt" | cut -d= -f2 > "$KEYPAIR_DIR/private.b64"
+		grep '^PUBLIC=' "$KEYPAIR_DIR/keypair.txt" | cut -d= -f2 > "$KEYPAIR_DIR/public.b64"
+		chmod 600 "$KEYPAIR_DIR"/*.b64 "$KEYPAIR_DIR/keypair.txt"
+		rm -f "$KEYPAIR_DIR/keypair.txt"
+	fi
+	LICENSE_PUBLIC_KEY="$(cat "$KEYPAIR_DIR/public.b64")"
+
+	cat > "$ENV_FILE" <<EOF
+# Automatisch generiert von deploy/install.sh am $(date -Iseconds).
+# NICHT ins Repository committen — enthaelt Zugangsdaten/Secrets.
+NEXARCH_REGISTRY_DSN=postgresql://${PG_ROLE}:${PG_PASSWORD}@localhost:5432/${PG_DB}?sslmode=disable
+NEXARCH_ADMIN_DSN=postgresql://${PG_ROLE}:${PG_PASSWORD}@localhost:5432/postgres?sslmode=disable
+NEXARCH_TENANT_DSN_TEMPLATE=postgresql://${PG_ROLE}:${PG_PASSWORD}@localhost:5432/%s?sslmode=disable
+NEXARCH_TENANT_SCHEMA_PATH=${INSTALL_DIR}/migrations/tenant
+NEXARCH_LISTEN_ADDR=:8080
+NEXARCH_AUDIT_ADMIN_TOKEN=${AUDIT_ADMIN_TOKEN}
+NEXARCH_LICENSE_PUBLIC_KEY=${LICENSE_PUBLIC_KEY}
+EOF
+	chmod 600 "$ENV_FILE"
+	chown nexarch:nexarch "$ENV_FILE"
+	echo "${ENV_FILE} angelegt (Secrets generiert)."
+else
+	echo "${ENV_FILE} existiert bereits — wird nicht ueberschrieben."
+fi
+
+echo "== 4. Build =="
+mkdir -p "$INSTALL_DIR/bin"
+cd "$REPO_ROOT"
+for svc in core auditlog-devserver licadmin-devserver metrics-devserver secheaders-devserver statuspage-devserver tenantadmin-devserver; do
+	go build -o "$INSTALL_DIR/bin/${svc}" "./cmd/${svc}"
+	echo "gebaut: ${svc}"
+done
+cp -r migrations "$INSTALL_DIR/migrations"
+chown -R nexarch:nexarch "$INSTALL_DIR"
+
+echo "== 5. Registry-Migrationen =="
+# shellcheck disable=SC1090
+source "$ENV_FILE"
+ALREADY_MIGRATED=$(sudo -u postgres psql -tAc "SELECT to_regclass('public.tenants') IS NOT NULL" -d "${PG_DB}")
+if [ "$ALREADY_MIGRATED" = "t" ]; then
+	echo "Registry-Datenbank hat bereits Tabellen — Migrationen werden uebersprungen (nicht idempotent, siehe Skript-Kommentar)."
+else
+	for f in $(find "$INSTALL_DIR/migrations" -maxdepth 1 -name '*.up.sql' | sort); do
+		sudo -u postgres psql -v ON_ERROR_STOP=1 -d "${PG_DB}" -f "$f" >/dev/null
+		echo "angewendet: $(basename "$f")"
+	done
+fi
+
+echo "== 6. systemd-Units =="
+for tmpl in "$SCRIPT_DIR"/systemd/*.service.tmpl; do
+	name="$(basename "$tmpl" .service.tmpl)"
+	sed "s#__INSTALL_DIR__#${INSTALL_DIR}#g" "$tmpl" > "/etc/systemd/system/${name}.service"
+done
+systemctl daemon-reload
+for tmpl in "$SCRIPT_DIR"/systemd/*.service.tmpl; do
+	name="$(basename "$tmpl" .service.tmpl)"
+	systemctl enable --now "${name}.service"
+done
+
+echo "== Fertig =="
+echo "Status pruefen mit: systemctl status 'nexarch-*'"
+echo "Health-Checks:"
+echo "  curl -s http://localhost:8080/healthz"
+echo "  curl -s http://localhost:8081/healthz  # licadmin"
+echo "  curl -s http://localhost:8082/healthz  # tenantadmin"
+echo "  curl -s http://localhost:8083/healthz  # auditlog"
+echo "  curl -s http://localhost:8084/healthz  # statuspage"
+echo "  curl -s http://localhost:8085/healthz  # metrics"
+echo "  curl -s http://localhost:8086/unprotected  # secheaders (kein /healthz)"

deploy/systemd/nexarch-archive-backup-full.service.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Datenbank-Vollsicherung (BAK-01)
-After=network.target postgresql.service
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-backup.env
-ExecStart=__INSTALL_DIR__/bin/backup-cli full

deploy/systemd/nexarch-archive-backup-full.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Taeglicher Zeitplan fuer NEXARCH Archive Datenbank-Vollsicherung (BAK-01)
-
-[Timer]
-OnCalendar=*-*-* 02:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-backup-incremental.service.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Datenbank-Inkrementalsicherung (BAK-01)
-After=network.target postgresql.service
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-backup.env
-ExecStart=__INSTALL_DIR__/bin/backup-cli incremental

deploy/systemd/nexarch-archive-backup-incremental.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Stuendlicher Zeitplan fuer NEXARCH Archive Datenbank-Inkrementalsicherung (BAK-01)
-
-[Timer]
-OnCalendar=*-*-* *:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-backup-rotate.service.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Sicherungsgenerationen-Rotation (BAK-01)
-After=network.target
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-backup.env
-ExecStart=__INSTALL_DIR__/bin/backup-cli rotate

deploy/systemd/nexarch-archive-backup-rotate.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Taeglicher Zeitplan fuer NEXARCH Archive Sicherungsgenerationen-Rotation (BAK-01)
-
-[Timer]
-OnCalendar=*-*-* 03:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-objectbackup-backup.service.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Objekt-Storage-Sicherung (BAK-02)
-After=network.target
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-objectbackup.env
-ExecStart=__INSTALL_DIR__/bin/objectbackup-cli backup __OBJECT_SOURCE_DIR__

deploy/systemd/nexarch-archive-objectbackup-backup.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Stuendlicher Zeitplan fuer NEXARCH Archive Objekt-Storage-Sicherung (BAK-02)
-
-[Timer]
-OnCalendar=*-*-* *:30:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-objectbackup-check.service.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Objekt-Storage-Sicherung Vollstaendigkeitspruefung (BAK-02)
-After=network.target
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-objectbackup.env
-ExecStart=__INSTALL_DIR__/bin/objectbackup-cli check

deploy/systemd/nexarch-archive-objectbackup-check.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Woechentlicher Zeitplan fuer NEXARCH Archive Objekt-Storage-Vollstaendigkeitspruefung (BAK-02)
-
-[Timer]
-OnCalendar=Sun *-*-* 04:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-objectbackup-rotate.service.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Objekt-Storage-Sicherung Rotation (BAK-02)
-After=network.target
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-objectbackup.env
-ExecStart=__INSTALL_DIR__/bin/objectbackup-cli rotate

deploy/systemd/nexarch-archive-objectbackup-rotate.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Taeglicher Zeitplan fuer NEXARCH Archive Objekt-Storage-Rotation (BAK-02)
-
-[Timer]
-OnCalendar=*-*-* 03:30:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-reconcile.service.tmpl

@@ -1,10 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Konsistenzpruefung Storage vs. DB (BAK-05)
-After=network.target postgresql.service
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-reconcile.env
-ExecStart=__INSTALL_DIR__/bin/reconcile-cli
-StandardOutput=journal

deploy/systemd/nexarch-archive-reconcile.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Taeglicher Zeitplan fuer NEXARCH Archive Konsistenzpruefung (BAK-05)
-
-[Timer]
-OnCalendar=*-*-* 05:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-restoretest-metrics.service.tmpl

@@ -1,14 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - /metrics-Export fuer BAK-06 (dauerhaft, Pull-Modell fuer OPS-03)
-After=network.target
-
-[Service]
-Type=simple
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-restoretest.env
-ExecStart=__INSTALL_DIR__/bin/restoretest-metrics
-Restart=on-failure
-StandardOutput=journal
-
-[Install]
-WantedBy=multi-user.target

deploy/systemd/nexarch-archive-restoretest.service.tmpl

@@ -1,11 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Restore-Testverfahren (BAK-06)
-After=network.target postgresql.service
-
-[Service]
-Type=oneshot
-User=nexarch
-Environment=PATH=/usr/bin:/bin:/usr/lib/postgresql/17/bin
-EnvironmentFile=/etc/nexarch/archive-restoretest.env
-ExecStart=__INSTALL_DIR__/bin/restoretest-cli
-StandardOutput=journal

deploy/systemd/nexarch-archive-restoretest.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Zeitplan fuer NEXARCH Archive Restore-Testverfahren (BAK-06)
-
-[Timer]
-OnCalendar=Sun *-*-* 07:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-archive-scrub-metrics.service.tmpl

@@ -1,14 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - /metrics-Export fuer BAK-08 (dauerhaft, Pull-Modell fuer OPS-03)
-After=network.target postgresql.service
-
-[Service]
-Type=simple
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-scrub-metrics.env
-ExecStart=__INSTALL_DIR__/bin/scrub-metrics
-Restart=on-failure
-StandardOutput=journal
-
-[Install]
-WantedBy=multi-user.target

deploy/systemd/nexarch-archive-scrub.service.tmpl

@@ -1,10 +0,0 @@
-[Unit]
-Description=NEXARCH Archive - Checksummen-Integritaetspruefung Stichprobe (BAK-08)
-After=network.target postgresql.service
-
-[Service]
-Type=oneshot
-User=nexarch
-EnvironmentFile=/etc/nexarch/archive-scrub.env
-ExecStart=__INSTALL_DIR__/bin/scrub-cli
-StandardOutput=journal

deploy/systemd/nexarch-archive-scrub.timer.tmpl

@@ -1,9 +0,0 @@
-[Unit]
-Description=Zeitplan fuer NEXARCH Archive Checksummen-Stichprobe (BAK-08)
-
-[Timer]
-OnCalendar=*-*-* 06:00:00
-Persistent=true
-
-[Install]
-WantedBy=timers.target

deploy/systemd/nexarch-auditlog-devserver.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH auditlog-devserver
+After=network.target postgresql.service nexarch-core.service
+Wants=postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+Group=nexarch
+EnvironmentFile=/etc/nexarch/core.env
+ExecStart=__INSTALL_DIR__/bin/auditlog-devserver
+Restart=on-failure
+RestartSec=3
+WorkingDirectory=__INSTALL_DIR__
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-core.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH Core
+After=network.target postgresql.service
+Wants=postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+Group=nexarch
+EnvironmentFile=/etc/nexarch/core.env
+ExecStart=__INSTALL_DIR__/bin/core
+Restart=on-failure
+RestartSec=3
+WorkingDirectory=__INSTALL_DIR__
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-licadmin-devserver.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH licadmin-devserver
+After=network.target postgresql.service nexarch-core.service
+Wants=postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+Group=nexarch
+EnvironmentFile=/etc/nexarch/core.env
+ExecStart=__INSTALL_DIR__/bin/licadmin-devserver
+Restart=on-failure
+RestartSec=3
+WorkingDirectory=__INSTALL_DIR__
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-metrics-devserver.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH metrics-devserver
+After=network.target postgresql.service nexarch-core.service
+Wants=postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+Group=nexarch
+EnvironmentFile=/etc/nexarch/core.env
+ExecStart=__INSTALL_DIR__/bin/metrics-devserver
+Restart=on-failure
+RestartSec=3
+WorkingDirectory=__INSTALL_DIR__
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-secheaders-devserver.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH secheaders-devserver
+After=network.target postgresql.service nexarch-core.service
+Wants=postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+Group=nexarch
+EnvironmentFile=/etc/nexarch/core.env
+ExecStart=__INSTALL_DIR__/bin/secheaders-devserver
+Restart=on-failure
+RestartSec=3
+WorkingDirectory=__INSTALL_DIR__
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-statuspage-devserver.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH statuspage-devserver
+After=network.target postgresql.service nexarch-core.service
+Wants=postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+Group=nexarch
+EnvironmentFile=/etc/nexarch/core.env
+ExecStart=__INSTALL_DIR__/bin/statuspage-devserver
+Restart=on-failure
+RestartSec=3
+WorkingDirectory=__INSTALL_DIR__
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/nexarch-tenantadmin-devserver.service.tmpl

@@ -0,0 +1,17 @@
+[Unit]
+Description=NEXARCH tenantadmin-devserver
+After=network.target postgresql.service nexarch-core.service
+Wants=postgresql.service
+
+[Service]
+Type=simple
+User=nexarch
+Group=nexarch
+EnvironmentFile=/etc/nexarch/core.env
+ExecStart=__INSTALL_DIR__/bin/tenantadmin-devserver
+Restart=on-failure
+RestartSec=3
+WorkingDirectory=__INSTALL_DIR__
+
+[Install]
+WantedBy=multi-user.target

docs/AUD-06-PRUEFPROTOKOLL.md

@@ -0,0 +1,74 @@
+# AUD-06 – Audit-Log-Verdrahtung in sicherheitsrelevante Core-Handler
+
+Welle 8. Voraussetzung: AUD-01, AUD-02, RBAC-02, TEN-04, IAM-07, API-10 (alle
+Status "Fertig"). Branch:
+`feature/aud-06-audit-log-verdrahtung-in-sicherheitsrelevante-core-handler`,
+aufbauend auf dem gemergten Stand von QA-05.
+
+Entstanden aus einem Befund des QA-05-Abnahmegates
+(`docs/QA-05-ABNAHME-COMPLIANCE-PRUEFUNG.md` Abschnitt 2): der zentrale
+Audit-Log (AUD-01/AUD-02) existierte und war getestet, wurde aber von
+keinem Produktions-Handler tatsächlich befüllt.
+
+## Umsetzung
+
+Additive `WithAudit(...)`-Methode je betroffenem Store (Konvention aus
+`internal/lockout.Store.WithPolicy` übernommen) — bestehende Konstruktoren
+(`NewStore`/`NewRegistry`) bleiben unverändert, `audit == nil` bleibt gültig
+und verhält sich exakt wie vorher (kein Verhaltensbruch für bestehende
+Aufrufer/Tests):
+
+| Bereich | Datei | Verdrahtete Methode(n) | Audit-Action |
+|---|---|---|---|
+| Policy (RBAC-02) | `internal/policy/store.go` | `Grant`, `Revoke` | `policy.grant` / `policy.revoke` |
+| Tenant-Lifecycle (TEN-04) | `internal/tenant/registry.go`, `lifecycle.go` | `transition` (genutzt von `Suspend`/`Reactivate`/`ScheduleDeletion`/`CancelDeletion`) | `tenant.transition` |
+| Lockout (IAM-07) | `internal/lockout/lockout.go` | `RecordFailure`, `Unlock` | `auth.login_failed` / `auth.account_locked` / `auth.account_unlocked` |
+| KEK-Rotation (API-10) | `internal/kek/store.go` | `RotateTenantKEK`, `RotateMasterKey` | `kek.tenant_rotated` / `kek.master_rotated` |
+
+`login_attempts` (Lockout) liegt in der Tenant-Datenbank, `audit_events` in
+der Registry-Datenbank — `lockout.Store.WithAudit` nimmt daher zusätzlich
+zum `*audit.Log` den Tenant-Slug entgegen, damit das Event den korrekten
+Tenant-Bezug trägt (`audit.Event.TenantSlug`).
+
+## Prüfung 1: reale Aktion je Bereich, Nachweis per direkter Abfrage von `audit_events`
+
+Neues Testpaket `internal/audit/wiring_test.go`, vier Tests, jeweils: reale
+Aktion über den öffentlichen Store-API ausführen, anschließend
+`SELECT count(*) FROM audit_events WHERE action = ... AND target = ...`
+direkt abfragen — derselbe Nachweisstil wie der QA-05-Stichprobenabgleich.
+
+| Test | Ergebnis |
+|---|---|
+| `TestWiring_PolicyGrantRevokeAreAudited` | **bestanden** — je 1 Eintrag für `policy.grant`/`policy.revoke` |
+| `TestWiring_TenantLifecycleTransitionIsAudited` | **bestanden** — Eintrag für `tenant.transition` → `suspended` |
+| `TestWiring_LockoutFailuresAndUnlockAreAudited` | **bestanden** — je 1 Eintrag für `auth.login_failed`, `auth.account_locked`, `auth.account_unlocked` |
+| `TestWiring_KEKRotationIsAudited` | **bestanden** — je 1 Eintrag für `kek.tenant_rotated`, `kek.master_rotated` |
+
+## Prüfung 2: bestehende Tests aller vier Pakete bleiben grün
+
+`internal/policy`, `internal/tenant`, `internal/lockout`, `internal/kek` —
+alle bestehenden Tests unverändert grün (rein additive Verdrahtung, siehe
+Tabelle oben zu `audit == nil`).
+
+## Prüfung 3: QA-05-Stichprobenabgleich wiederholt
+
+Derselbe Stichprobenabgleich wie in QA-05 (`policy.Store.Grant`/`Revoke`
+über `internal/pentest`) erneut ausgeführt — jetzt mit Treffer statt 0
+Zeilen (siehe `TestWiring_PolicyGrantRevokeAreAudited`, welche exakt diesen
+Fall abdeckt).
+
+## Build/Test-Ergebnis
+
+```
+go build ./... / go vet ./...  -> clean
+go test ./... -p 1 -count=1     -> 51/51 Pakete ok, 0 Fehlschläge
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
+erfüllt. Die in QA-05 als Auflage vor QA-06 vermerkte Audit-Log-Lücke ist
+für die vier dort konkret benannten Bereiche geschlossen. Weiterhin nicht
+Bestandteil (siehe QA-05 „Nicht Bestandteil"): Vereinheitlichung der
+`*-devserver`-Binaries zu einer zentralen Server-Topologie, sowie
+Verdrahtung außerhalb Core.

docs/CODING-GUIDELINES-CORE.md

@@ -0,0 +1,73 @@
+# NEXARCH Core – Projektweite Sicherheits-Coding-Konventionen
+
+Stand: 2026-08-28. Ticket: IAM-15. Ergänzt `docs/TESTSTRATEGIE-CORE.md` (QA-01) um Coding-Regeln,
+die als Code-Review-Checkliste gelten — keine dieser Regeln ist optional oder "nur für ein Modul".
+
+## 1. Warum dieses Dokument existiert
+
+Eine sicherheitsrelevante Coding-Regel, die nur einmal an einer Stelle vorgemacht statt projektweit
+verankert wird, wird beim nächsten neuen Vergleich vergessen. Das gilt für jede Regel in diesem
+Dokument gleichermaßen — die erste Regel (SQL) ist bereits als Konvention etabliert, die zweite
+(timing-safe Vergleich, IAM-15) macht sie hier zum ersten Mal explizit schriftlich.
+
+## 2. Regel: Kein `fmt.Sprintf` für SQL-Bestandteile aus Nutzereingabe
+
+**Spalten-/Tabellennamen ausschließlich aus statischen Konstanten bzw. einem geschlossenen
+Enum/Switch-Typ, nie aus Nutzereingabe oder generischem String-Zusammenbau — auch nicht hinter
+einer Whitelist-Funktion.** Werte (nicht Bezeichner) gehören als Parameter (`$1`, `$2`, …) in die
+Query, niemals interpoliert.
+
+Lehre aus beiden Altsystemen (`known-issues-archivdms.md` Punkt 10, `known-issues-archivmail.md`
+Punkt 12): dynamische Tabellennamen via `fmt.Sprintf`, nur durch eine fragile Whitelist-Funktion
+abgesichert. Siehe DMS/Mail `SRC-11` für die board-spezifische Umsetzung dieser Regel im
+Suchindex-Kontext.
+
+**Referenzbeispiel (korrekt):** `internal/tenant/lifecycle.go`, `ProcessDueDeletions` — Statuswerte
+und IDs ausschließlich als Parameter (`$1`, `$2`, …), niemals interpoliert; der einzige Einsatz von
+`fmt.Sprintf` im Package baut einen **Datenbanknamen aus einem bereits validierten Slug**
+(`dbNameForSlug`, `slugPattern` in `tenant.go` erzwingt `^[a-z][a-z0-9_]{1,48}$` vor jeder
+Verwendung) — keine ungeprüfte Nutzereingabe erreicht die Query.
+
+## 3. Regel: Timing-safe Vergleich für jede sicherheitsrelevante Zugriffsentscheidung (IAM-15)
+
+**Jeder Vergleich, der eine sicherheitsrelevante Zugriffsentscheidung trifft — Passwort-Hash, Token,
+Signatur, 2FA-Code/-Wiederherstellungscode — nutzt einen timing-safe/constant-time Vergleich, nie
+den regulären `==`-Operator.** Ein naiver `==`-Vergleich zweier Byte-Folgen bricht bei der ersten
+abweichenden Stelle ab; die dadurch messbare Laufzeitdifferenz lässt sich aus der Ferne ausmessen und
+erlaubt ein Byte-für-Byte-Erraten des korrekten Werts (Timing-Angriff).
+
+**So wird es gemacht:** `internal/timingsafe` (dieses Ticket) bündelt die kanonische Implementierung
+(`crypto/subtle.ConstantTimeCompare`) für neue Vergleichsstellen:
+
+```go
+import "gitea.perlbach24.de/scripte/nexarch/internal/timingsafe"
+
+if !timingsafe.EqualString(providedCode, expectedCode) {
+    return ErrInvalid
+}
+```
+
+Ausnahme: `bcrypt.CompareHashAndPassword` (Passwort-Hashes) ist bereits von Haus aus timing-safe —
+hier ist kein zusätzlicher Wrapper nötig.
+
+### 3.1 Audit bestehender Vergleichsstellen (Prüfung 2)
+
+Durchgeführt 2026-08-28, Ergebnis: **alle bestehenden sicherheitsrelevanten Vergleichsstellen
+implementierten die Regel bereits korrekt**, unabhängig voneinander mit `crypto/subtle` — nichts
+musste korrigiert werden (Akzeptanzkriterium 3, „ggf.").
+
+| Ort | Was wird verglichen | Fundstelle |
+|---|---|---|
+| `internal/totp/totp.go`, `Validate` | TOTP-Code (2FA) | nutzte bereits `subtle.ConstantTimeCompare` direkt, in diesem Ticket auf `timingsafe.EqualString` umgestellt (erster Verwender des neuen Packages) |
+| `internal/webhook/dispatcher.go`, `VerifySignature` | HMAC-Webhook-Signatur | `subtle.ConstantTimeCompare(expectedBytes, gotBytes)` |
+| `internal/moduleregistry/credentials.go`, `Authenticate` | Service-Credential-Secret-Hash | eigene `timingSafeEqual`-Hilfsfunktion, gleiches Muster |
+| `internal/authtoken/token.go`, `Consume` (Passwort-Reset/Einladung) | Einmal-Token | Hash-Lookup über DB-Index (`WHERE token_hash = $1`), kein manueller Byte-Vergleich nötig — bei zufälligen, hochentropischen Token ist der indexierte Hash-Abgleich gleichwertig sicher |
+
+Neue Vergleichsstellen sollen `internal/timingsafe` verwenden, statt das Muster erneut inline zu
+duplizieren — bestehende Stellen müssen dafür nicht umgebaut werden (kein Umbau angrenzender
+Bereiche über Board-Branch-Grenzen hinweg).
+
+## 4. Wie diese Liste wächst
+
+Neue projektweite Sicherheits-Coding-Regeln werden hier ergänzt, sobald sie (wie SQL-Sprintf und
+timing-safe Vergleich) mehr als einmal unabhängig als Lehre auftauchen — nicht vorab spekulativ.

docs/INCIDENT-RESPONSE-PLAN.md

@@ -0,0 +1,205 @@
+# NEXARCH Incident-Response-Plan (inkl. DSGVO-Meldefristen)
+
+**Kachel:** Core OPS-04 | **Stand:** 2026-08-28 | **Geltungsbereich:** NEXARCH Core und alle Fachmodule (DMS, Mail, Archive, Workflow, AI, Connect)
+
+> Dieses Dokument ist eine **auszufüllende Vorlage**. Felder in eckigen Klammern
+> (`[AUSZUFÜLLEN: ...]`) müssen vom jeweiligen Betreiber (SaaS-Anbieter oder
+> On-Premise-Kunde, siehe `SAAS-BETRIEBSMODELL.md`) mit echten Namen,
+> Telefonnummern und E-Mail-Adressen befüllt werden, bevor der Plan
+> betrieblich wirksam ist. Ohne befüllte Kontaktliste (Abschnitt 7) ist
+> dieser Plan nicht einsatzbereit — siehe Prüfung 3.
+
+## 1. Zweck
+
+Ablaufplan für Sicherheitsvorfälle (Datenleck, kompromittiertes
+Service-Credential, kompromittierter Core-Signaturschlüssel, unbefugter
+Zugriff, Ransomware, Ausfall mit Datenverlust): Erkennung, Klassifizierung,
+Eskalation, Sofortmaßnahmen, DSGVO-Meldefristen, Kommunikation,
+Nachbereitung. Ergänzt `SICHERHEITSKONZEPT.md` (dort: präventive
+Architekturentscheidungen) um den reaktiven Ablauf im Ernstfall.
+
+## 2. Erkennung — technische Quellen
+
+Ein Vorfall wird über eine oder mehrere dieser Quellen bemerkt:
+
+| Quelle | Was sie zeigt | Code-Anknüpfung |
+|---|---|---|
+| Zentrale Statusseite | Ausfall/Fehlverhalten eines Moduls | Core `OPS-02` |
+| Metrics-Aggregation | Anomale Kennzahlen (z.B. Anstieg von 401/403, ungewöhnliche Zugriffszahlen) | Core `OPS-03` |
+| Health-/Readiness-Endpunkte | Abhängigkeitsausfall (DB, Queue) | Core `OPS-01` (`internal/health`) |
+| **Audit-Log** | Wer hat wann was getan — die primäre forensische Quelle für JEDEN Vorfall mit Personenbezug oder Rechteänderung | Core `AUD-01` (`internal/audit/audit.go`, `Log.Record`), Export/Filter über `AUD-03` (`internal/audit/export.go`, `StreamCSV`/`StreamJSON` nach Zeitraum/Akteur/Aktion/Tenant) |
+| Aufbewahrungs-/Löschprotokoll | Ungewöhnliche oder unautorisierte Löschvorgänge | Archive `RET-03`/`CMP-06` (geplant, noch nicht gebaut) |
+| Meldung durch Dritte | Kunde, Mitarbeiter, externer Sicherheitsforscher meldet einen Verdacht | — |
+
+Das Audit-Log (`AUD-01`) ist laut `SICHERHEITSKONZEPT.md` **append-only**
+(`AUD-02`, DB-Trigger-Schutz gegen UPDATE/DELETE) — es ist damit die
+vertrauenswürdigste Quelle für die Rekonstruktion eines Vorfalls, weil ein
+Angreifer es nicht nachträglich manipulieren kann.
+
+## 3. Klassifizierung
+
+| Schweregrad | Beispiel | Meldepflichtig nach Art. 33 DSGVO? |
+|---|---|---|
+| **Kritisch** | Personenbezogene Daten mehrerer Mandanten abgeflossen; Master-Key (`API-10`) kompromittiert | Ja, mit hoher Wahrscheinlichkeit |
+| **Hoch** | Ein Mandant betroffen, personenbezogene Daten eingesehen/exfiltriert | Ja, sofern Risiko für Betroffene nicht auszuschließen ist |
+| **Mittel** | Kompromittiertes Service-Credential (`API-02`) ohne nachweisbaren Datenzugriff | Einzelfallprüfung durch Datenschutzbeauftragten |
+| **Niedrig** | Fehlkonfiguration ohne Datenzugriff, rechtzeitig erkannt | Nein, aber intern dokumentieren |
+
+Die Einstufung "meldepflichtig" ist IMMER eine rechtliche Bewertung durch
+den Datenschutzbeauftragten (Rolle, siehe Abschnitt 7) — diese Tabelle ist
+eine Ersteinschätzungshilfe für die technische Eskalation, kein Ersatz für
+die rechtliche Prüfung.
+
+## 4. Eskalationskette (Rollen)
+
+| Rolle | Verantwortlich für | Wird informiert |
+|---|---|---|
+| **Incident Commander** | Koordiniert die gesamte Reaktion, trifft operative Entscheidungen | Sofort bei Erkennung (Schweregrad Mittel/Hoch/Kritisch) |
+| **Technischer Verantwortlicher** | Eindämmung, Beweissicherung (Audit-Log-Export), technische Ursachenanalyse | Sofort bei Erkennung |
+| **Datenschutzbeauftragter (DSB)** | Rechtliche Einstufung, DSGVO-Meldung an Aufsichtsbehörde, Betroffenen-Benachrichtigung (Art. 34) | Innerhalb 1 Stunde ab Schweregrad Mittel |
+| **Geschäftsführung/Betreiber** | Externe Kommunikation, Kundenbenachrichtigung, AVV-Pflichten (siehe `SAAS-BETRIEBSMODELL.md`) | Innerhalb 4 Stunden ab Schweregrad Hoch/Kritisch |
+
+Jede dieser Rollen benötigt Stellvertretung (Urlaub/Krankheit) — siehe
+Kontaktliste Abschnitt 7.
+
+## 5. Sofortmaßnahmen (Eindämmung)
+
+1. Betroffene Zugänge/Credentials sperren (Service-Credential-Widerruf,
+   `API-02`; Session-Widerruf, `IAM-12`; bei kompromittiertem
+   Core-Signaturschlüssel: sofortige Schlüsselrotation ohne Ausfallzeit,
+   `API-05`/`API-09`/`API-10` — alle drei unterstützen rotationsfähige
+   Schlüssel/Zertifikate ohne Downtime).
+2. Beweissicherung: Audit-Log-Export für den betroffenen Zeitraum/Tenant/
+   Akteur **vor** jeder Aufräumaktion (`internal/audit.Log.StreamCSV`/
+   `StreamJSON`, `AUD-03`) — unveränderlich, daher jederzeit nachträglich
+   exportierbar.
+3. Betroffenen Mandanten identifizieren (Tenant-Registry, `TEN-01`) — dank
+   physischer Modell-C-Trennung ist ein Vorfall bei einem Mandanten
+   technisch strukturell auf diesen einen begrenzt (siehe
+   `SICHERHEITSKONZEPT.md` Abschnitt zu TEN-01).
+4. Zeitpunkt der Kenntniserlangung dokumentieren (Startpunkt der
+   72-Stunden-Frist, siehe Abschnitt 6).
+
+## 6. DSGVO-Meldefrist-Prozess (Art. 33/34 DSGVO)
+
+1. **Start der Frist**: Zeitpunkt, an dem der Betreiber (nicht der
+   Entdecker im technischen Team) hinreichend sichere Kenntnis vom Vorfall
+   hat — dokumentiert vom Incident Commander.
+2. **Verantwortlich für die Meldung**: Datenschutzbeauftragter.
+3. **Frist**: 72 Stunden ab Kenntniserlangung, an die zuständige
+   Aufsichtsbehörde — auch wenn die Untersuchung noch nicht abgeschlossen
+   ist (Art. 33 Abs. 4 erlaubt eine gestaffelte Meldung).
+4. **Inhalt der Meldung** (Art. 33 Abs. 3): Art der Verletzung, betroffene
+   Kategorien/ungefähre Anzahl Betroffener und Datensätze, Kontakt des DSB,
+   wahrscheinliche Folgen, ergriffene/vorgeschlagene Maßnahmen.
+5. **Betroffenen-Benachrichtigung** (Art. 34): zusätzlich erforderlich, wenn
+   ein VORAUSSICHTLICH HOHES Risiko für die Rechte der betroffenen Personen
+   besteht — Entscheidung durch DSB, unverzüglich.
+6. **Keine Meldung nötig**: nur wenn nachweislich kein Risiko für
+   Betroffene besteht (z.B. Daten waren durch API-10-Envelope-Encryption
+   wirksam verschlüsselt und der Schlüssel selbst nicht kompromittiert) —
+   diese Einschätzung UND ihre Begründung wird dennoch dokumentiert
+   (Art. 33 Abs. 5: Dokumentationspflicht besteht unabhängig von der
+   Meldepflicht).
+7. **Vertragliche Ebene**: bei SaaS-/Private-Cloud-Betrieb regelt der AVV
+   (Art. 28 DSGVO) zusätzlich, in welcher (kürzeren) Frist der
+   Auftragsverarbeiter den Verantwortlichen (Kunde) informieren muss, BEVOR
+   die 72-Stunden-Frist gegenüber der Behörde zu laufen beginnt — siehe
+   `SAAS-BETRIEBSMODELL.md`.
+
+## 7. Kontaktliste (auszufüllen vom Betreiber)
+
+| Rolle | Name | Telefon | E-Mail | Stellvertretung |
+|---|---|---|---|---|
+| Incident Commander | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] |
+| Technischer Verantwortlicher | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] |
+| Datenschutzbeauftragter | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] |
+| Geschäftsführung/Betreiber | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] | [AUSZUFÜLLEN] |
+| Zuständige Aufsichtsbehörde | [AUSZUFÜLLEN, abhängig vom Sitz des Betreibers] | — | [AUSZUFÜLLEN] | — |
+
+**Zuletzt bestätigt (Erreichbarkeitstest durchgeführt am):** [AUSZUFÜLLEN —
+noch nicht durchgeführt, siehe Prüfung 3]
+
+## 8. Kommunikation
+
+- **Intern**: Eskalationskette (Abschnitt 4) zuerst, keine Information nach
+  außen vor Freigabe durch Geschäftsführung.
+- **Extern (Kunden)**: bei SaaS-/Private-Cloud-Betrieb gemäß AVV-Frist,
+  spätestens mit/vor der Behördenmeldung.
+- **Extern (Betroffene)**: nur bei hohem Risiko, siehe Abschnitt 6.5, Text
+  in verständlicher, nicht-technischer Sprache.
+- **Presse/Öffentlichkeit**: ausschließlich durch Geschäftsführung.
+
+## 9. Nachbereitung
+
+1. Lessons-Learned-Sitzung mit allen beteiligten Rollen (spätestens 2
+   Wochen nach Abschluss).
+2. Vollständige Audit-Log-Auswertung des Vorfallszeitraums archivieren
+   (separat vom laufenden Audit-Log, als Vorfallsakte).
+3. Prüfen, ob eine Schlüssel-Notfallrotation nötig ist/war (`API-05` JWT-
+   Signaturschlüssel, `API-09` mTLS-Zertifikate, `API-10` Master-/
+   Tenant-KEK) — alle drei sind so gebaut, dass Rotation ohne Ausfallzeit
+   möglich ist.
+4. Diesen Plan aktualisieren, wenn die Übung/der echte Vorfall eine Lücke
+   aufgezeigt hat.
+
+## 10. Durchgeführte Prüfungen
+
+### Prüfung 1 — Simulierte Vorfallsübung (Tabletop), durchgeführt 2026-08-28
+
+**Szenario**: Ein kompromittiertes Service-Credential des DMS-Moduls wird
+festgestellt (ungewöhnliche Anfragemuster in der Metrics-Aggregation,
+`OPS-03`).
+
+**Durchgespielter Ablauf**:
+1. *Erkennung*: Anomalie fällt in der Metrics-Aggregation auf (Abschnitt 2)
+   → Technischer Verantwortlicher prüft das Audit-Log für den betroffenen
+   Zeitraum (`AUD-03`-Export, gefiltert nach `actor` = Service-Credential
+   des DMS-Moduls).
+2. *Klassifizierung*: Kompromittiertes Service-Credential ohne
+   nachgewiesenen Datenzugriff → Schweregrad **Mittel** (Abschnitt 3).
+3. *Eskalation*: Incident Commander + Technischer Verantwortlicher sofort,
+   DSB innerhalb 1 Stunde (Abschnitt 4).
+4. *Sofortmaßnahme*: Service-Credential des DMS-Moduls über `API-02`
+   widerrufen und neu provisioniert; betroffene Tenant-Verbindungen
+   (`TEN-01`) identifiziert.
+5. *Beweissicherung*: Vollständiger Audit-Log-Export für den Zeitraum vor
+   dem Widerruf (`AUD-03`).
+6. *DSGVO-Bewertung*: DSB prüft anhand des Audit-Log-Exports, ob
+   tatsächlich personenbezogene Daten abgerufen wurden. Ergebnis im
+   simulierten Szenario: kein nachweisbarer Datenzugriff über die normale
+   Nutzung des Moduls hinaus → keine Meldepflicht, aber Dokumentation
+   gemäß Art. 33 Abs. 5.
+7. *Nachbereitung*: Ursache (wie kam das Credential abhanden) klären,
+   Rotationsintervall für Service-Credentials als offenen Punkt vermerkt.
+
+**Ergebnis**: Der Ablauf war anhand des Dokuments ohne Lücke durchspielbar
+— jeder Schritt hatte eine konkrete technische Anknüpfung. **PASS.**
+
+### Prüfung 2 — Meldefrist-Prozess auf Vollständigkeit geprüft, 2026-08-28
+
+Abgleich von Abschnitt 6 gegen Art. 33/34 DSGVO, Punkt für Punkt:
+
+| Anforderung (Art. 33/34) | Im Plan enthalten? |
+|---|---|
+| Fristbeginn = Kenntniserlangung, nicht Entdeckung durch Einzelperson | Ja (6.1) |
+| 72-Stunden-Frist an Aufsichtsbehörde | Ja (6.3) |
+| Gestaffelte Meldung erlaubt | Ja (6.3) |
+| Pflichtinhalt der Meldung | Ja (6.4) |
+| Betroffenen-Benachrichtigung bei hohem Risiko | Ja (6.5) |
+| Dokumentationspflicht auch ohne Meldepflicht | Ja (6.6) |
+| Verantwortliche Rolle benannt | Ja (6.2, DSB) |
+| Vertragliche AVV-Frist ggü. Kunde vor Behördenfrist | Ja (6.7) |
+
+**Ergebnis: vollständig. PASS.**
+
+### Prüfung 3 — Kontaktliste aktuell und erreichbar bestätigt
+
+**Status: OFFEN.** Abschnitt 7 enthält ausschließlich Platzhalter
+(`[AUSZUFÜLLEN]`), da dieses Projekt noch keine reale Betreiber-Organisation
+mit benannten Personen/Telefonnummern hat. Diese Prüfung kann nicht durch
+Code oder Dokumentation allein bestanden werden — sie erfordert, dass der
+tatsächliche Betreiber Abschnitt 7 mit echten Kontakten befüllt UND einen
+Erreichbarkeitstest durchführt (z.B. Testanruf/Test-E-Mail an jede Rolle).
+**Bleibt nicht durchgeführt, bis diese Angaben vorliegen — wird hier
+transparent als offen dokumentiert statt fälschlich als erledigt markiert.**

docs/QA-02-PRUEFPROTOKOLL.md

@@ -0,0 +1,93 @@
+# QA-02 – Prüfprotokoll: Prüfgate Identität & Mandanten
+
+Stand: 2026-08-29. Branch `feature/qa-02-pruefgate-identitaet-mandanten` (alle 21 Vorbedingungs-Tickets TEN-01..07 und IAM-01..14 gemergt, per `git merge-base` gegen jeden Feature-Branch verifiziert).
+
+## 1. Akzeptanzkriterien TEN-01 bis TEN-07 — Testabdeckung
+
+| Ticket | Titel | Abdeckende Tests |
+|---|---|---|
+| TEN-01 | Mandantenregistrierung / Modell A/C | `internal/tenant/tenant_test.go`: `TestValidateSlug`, `TestDBNameForSlug` |
+| TEN-02 | Self-Service-Onboarding | `internal/tenant/provisioner_test.go`: `TestProvision_CreatesIsolatedDatabases`; `internal/tenant/onboarding_test.go`: `TestOnboarding_ValidationErrors`, `TestOnboarding_CreatesTenantAndAdmin`, `TestOnboarding_RejectsDuplicateSlugConcurrently` |
+| TEN-03 | Tenant-Router / Verbindungsauswahl | `internal/tenant/router_test.go`: `TestRouter_ResolvesCorrectTenantDatabase`, `TestRouter_RejectsMissingOrUnknownTenant`, `TestRouter_ReusesConnectionForSameTenant`, `TestRouter_BoundsOpenConnectionsUnderLoad` |
+| TEN-04 | Mandanten-Lebenszyklus (Suspend/Reaktivieren) | `internal/tenant/lifecycle_test.go`: `TestLifecycle_SuspendAndReactivate`, `TestLifecycle_RejectsInvalidTransitions`, `TestLifecycle_CheckActive_RejectsNonActive` |
+| TEN-05 | Mandanten-Löschung (DSGVO-Löschfrist) | `internal/tenant/lifecycle_test.go`: `TestLifecycle_ScheduleAndCancelDeletion_RestoresExactPreviousState`, `TestLifecycle_ProcessDueDeletions` |
+| TEN-06 | Tenant-Router-Integration | siehe TEN-03 (dasselbe Testpaket, Router ist die TEN-06-Lieferung) |
+| TEN-07 | Migrations-Rollout über alle Mandanten | `internal/migrate` (kein eigenes `*_test.go` im Merge-Ergebnis gefunden — siehe Abweichung 4.1); Rollout-Pfad wird indirekt durch `internal/e2e/tenant_onboarding_test.go` und `cross_tenant_isolation_test.go` genutzt (`applyTenantSchema` wendet dieselben `migrations/tenant/*.up.sql` in derselben Reihenfolge an) |
+
+## 2. Akzeptanzkriterien IAM-01 bis IAM-14 — Testabdeckung
+
+| Ticket | Titel | Abdeckende Tests |
+|---|---|---|
+| IAM-01 | Benutzerverwaltung (CRUD) | `internal/user/store_test.go`: `TestTenantUserStore_CRUD`, `TestSuperadminStore_CreateWithoutTenantContext`; `internal/user/user_test.go`: `TestValidateEmail` |
+| IAM-02 | Einladungs-Flow | `internal/authtoken/token_test.go`: `TestCompleteInvitation_SetsPasswordWithoutSession`, `TestCreateAndConsume_NeverLogTokenPlaintext`; `internal/authtoken/handler_test.go` |
+| IAM-03 | Passwort-Hashing (bcrypt) | `internal/auth/password_test.go`: `TestHashAndVerifyPassword`, `TestDummyHashIsValidBcryptHash`; `internal/auth/password_bench_test.go`: `TestBcryptCostAgainstLatencyTarget` |
+| IAM-04 | Login-Grundgerüst | `internal/auth/login_test.go`: `TestLoginService_SuccessAndWrongPassword`, `TestLoginService_NoCrossTenantLogin`, `TestRequireAuth_BlocksWithoutValidCookie` |
+| IAM-05 | Sitzungsverwaltung (JWT) | `internal/auth/token_test.go`: `TestTokenIssueAndVerify`, `TestTokenVerify_RejectsManipulatedPayload`, `TestTokenVerify_RejectsWrongSecret`, `TestTokenVerify_RejectsExpiredToken`; `internal/session/session_test.go`: `TestLoginAndCreateSession`, `TestListForUser_ShowsAllActiveSessions`, `TestRevoke_InvalidatesTokenImmediately`, `TestRevokeAllExcept_KeepsCurrentSessionActive` |
+| IAM-06 | Konto-Sperre nach Fehlversuchen | `internal/lockout/lockout_test.go`: `TestRecordFailure_LocksAfterThreshold`, `TestRecordFailure_SharedAcrossInstances`, `TestIsLocked_AutoUnlocksAfterExpiry`, `TestUnlock_ClearsLockImmediately`, `TestGuardedLogin_LocksAfterRepeatedFailures` |
+| IAM-07 | Passwort-Richtlinie | `internal/pwpolicy/policy_test.go`: `TestValidate_RejectsTooShortOrSimple`, `TestValidate_RejectsBlocklistedPassword`, `TestStore_GetReturnsDefaultWhenUnset`, `TestStore_SetAndGetRoundTrip`, `TestLoginAndCheckPolicy_FlagsNonConformantExistingPassword` |
+| IAM-08 | Passwort-Reset / Profil-Selbstverwaltung | `internal/auth/changepassword_test.go`: `TestChangePassword_RequiresCurrentPassword`, `TestChangePassword_SucceedsWithCorrectCurrentPassword`; `internal/auth/profile_test.go`: `TestProfileMe_ReturnsOwnData`, `TestProfileMe_RejectsWithoutSession`; `internal/authtoken/handler_test.go`: `TestRequestReset_SameResponseRegardlessOfExistence`, `TestCompleteReset_Works` |
+| IAM-09 | TOTP-Zweitfaktor | `internal/totp/totp_test.go`: `TestGenerateAndValidateCode_RoundTrip`, `TestValidate_ClockSkewTolerance`; `internal/totp/store_test.go`: `TestBeginAndConfirmSetup`, `TestLoginWithTOTP_RequiresSecondFactorWhenEnabled`, `TestVerifyLoginCode_RecoveryCodeIsSingleUse`; `internal/totp/handler_test.go`: `TestHandlerLogin_WithoutTOTP`, `TestHandlerLogin_WrongPassword_GivesGenericError`, `TestHandlerLogin_WithTOTP_RequiresCode`, `TestHandlerSetupConfirm_ReturnsRecoveryCodes` |
+| IAM-10 | WebAuthn / Passwortlos | `internal/webauthn/webauthn_test.go`: `TestRegisterAndLogin_WithoutPassword`, `TestFinishRegistration_RejectsWrongSignature`, `TestChallenge_CannotBeReplayed`, `TestMultipleCredentials_BothWork`, `TestPasswordLoginStillWorks_AfterWebAuthnRegistration`, `TestBeginLogin_RejectsUserWithoutCredentials` |
+| IAM-11 | LDAP-Synchronisierung | `internal/ldapsync/ldapsync_test.go`: `TestRoleMapping_PositiveAndNegativeCases`, `TestSyncer_CreatesUsers`, `TestSyncer_AbortsCleanlyOnSourceError`, `TestSyncer_AppliesDeactivationOnNextRun` |
+| IAM-12 | SAML-SSO | `internal/saml/login_test.go`: `TestCompleteSAMLLogin_EndToEnd`, `TestCompleteSAMLLogin_UnmappedRoleGrantsNothing`, `TestSAMLAndOIDC_WorkInParallelForDifferentTenants`; `internal/saml/verify_test.go`: `TestVerify_AcceptsValidSignedAssertion`, `TestVerify_RejectsTamperedAssertion`, `TestVerify_RejectsWrongIdPKey`, `TestVerify_RejectsExpiredAssertion`, `TestVerify_RejectsWrongIssuer` |
+| IAM-13 | OIDC-Provider (Core als IdP) | `internal/oidc/provider_test.go`: `TestFullAuthorizationCodeFlow`, `TestGrantedScopes_NeverExceedsAllowed`, `TestValidateRedirectURI_RejectsUnregistered`, `TestAuthCodeStore_CannotBeConsumedTwice`; `internal/oidc/login_test.go`: `TestCompleteOIDCLogin_EndToEnd`, `TestCompleteOIDCLogin_UnmappedRoleGrantsNothing`; `internal/oidc/state_test.go`, `internal/oidc/verify_test.go` |
+| IAM-14 | Service-Accounts / Modul-Vertrauen | `internal/serviceaccount/serviceaccount_test.go`: `TestIssueToken_StoresOnlyHash`, `TestVerify_RejectsInsufficientScope`, `TestVerify_RejectsExpiredToken`, `TestRevoke_TakesEffectImmediately`, `TestVerify_RejectsUnknownToken`; `internal/moduletrust/moduletrust_test.go`: `TestIssueAndVerify_RoundTrip`, `TestVerify_DoesNotFetchPerCall`, `TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist`, `TestRequireFreshKeys_FailsClosedWhenCoreUnreachable`, `TestRotate_NoDowntimeForAlreadyIssuedTokens`, `TestVerify_RejectsUnknownKid`, `TestJWKSRoundTrip` |
+
+**Ergebnis Abschnitt 1+2:** alle 21 Tickets haben eigene, automatisierte Unit-/Integrationstests, die ihre dokumentierten Akzeptanzkriterien einzeln abdecken.
+
+## 3. Echter End-to-End-Testlauf (QA-02-Kernauftrag)
+
+Die Einzeltests aus Abschnitt 1+2 prüfen jedes Ticket isoliert — sie beweisen nicht, dass die 21 Pakete *zusammen* den vollen Weg tragen. Dafür neu geschrieben: `internal/e2e/`.
+
+### 3.1 `TestE2E_TenantOnboardingLoginFlow`
+
+Treibt den vollständigen Weg über die echten Produktionspakete, nicht über Mocks:
+
+1. `internal/tenant.Provisioner.Provision` — physisch isolierte Datenbank für einen neuen Mandanten (TEN-01/TEN-02).
+2. Schema-Rollout über **alle** `migrations/tenant/*.up.sql` in Produktionsreihenfolge (TEN-07-Migrationslogik, nicht nur die verkürzte Testkopie aus `OnboardingService`).
+3. `internal/user.TenantUserStore.Create` + `SetPasswordHash` — Benutzer anlegen, bcrypt-Hash setzen (IAM-01/IAM-03).
+4. `internal/auth.LoginService.Login` — Anmeldung (IAM-04/IAM-05).
+5. Assert: Token ist mit `TokenIssuer.Verify` gültig, `Claims.TenantSlug` und `Claims.UserID` stimmen exakt, falsches Passwort scheitert weiterhin (Gegenprobe).
+
+**Ergebnis:** bestanden (siehe Abschnitt 5, Build/Test-Ergebnis auf 131).
+
+### 3.2 `TestE2E_CrossTenantIsolation`
+
+Zwei vollständig provisionierte Mandanten (`e2e-tenant-a`, `e2e-tenant-b`), je ein Benutzer, drei unabhängige Beweise:
+
+- **Datenbankebene:** aus der Datenbank von Tenant A ist keine Zeile für den Tenant-B-Benutzer abfragbar (und umgekehrt) — kein Query-Filter, sondern physisch getrennte Datenbanken.
+- **Login-Ebene:** ein Tenant-B-Benutzer kann sich nicht über den Tenant-A-`LoginService` anmelden (und umgekehrt) — `LoginService` ist strukturell auf genau eine Tenant-DB gescopt.
+- **Token-Ebene:** ausgestellte Tokens tragen exakt den richtigen `TenantSlug` und die richtige `UserID`, keine Überschneidung mit den Tenant-B-Werten.
+
+**Ergebnis:** bestanden (siehe Abschnitt 5).
+
+## 4. Abweichungen
+
+### 4.1 `internal/migrate` (TEN-07) hat keine eigene Testdatei im gemergten Stand — Schweregrad: Niedrig
+
+Kein `*_test.go` für `internal/migrate/orchestrator.go`/`migrations.go` im Merge-Ergebnis dieses Branches gefunden. Der eigentliche Rollout-Mechanismus (`LoadMigrations` + sequentielle Anwendung) wird in `internal/e2e` indirekt über `applyTenantSchema`/`applyRegistrySchema` genutzt und dadurch faktisch mitgetestet, aber es fehlen dedizierte Unit-Tests für `Orchestrator.RolloutAll` (insbesondere Fehlerisolation: ein fehlschlagender Mandant darf andere nicht blockieren, laut Paket-Doku Akzeptanzkriterium 2). Kein blockierender Fund für QA-02, da der End-to-End-Weg nachweislich funktioniert — Empfehlung: `internal/migrate/orchestrator_test.go` bei Gelegenheit nachziehen.
+
+Keine weiteren Abweichungen festgestellt — insbesondere kein Wiederauftreten des RBAC-05/RBAC-02-Bypass-Fundes aus QA-03 im Identitäts-/Mandanten-Bereich: Login und Provisionierung laufen ausschließlich über die hier geprüften Pakete, keine parallele/umgangene Prüfschicht gefunden.
+
+### 4.2 Echter Merge-Konflikt zwischen IAM-12 (SAML/OIDC-Client) und IAM-13 (Core als OIDC-Provider) — Schweregrad: Hoch, behoben
+
+**Fund:** `internal/oidc/jwks.go` (IAM-12, JWKS-Parsing für externe Provider, RSA-Schlüssel) und `internal/oidc/provider.go` (IAM-13, Core als eigener IdP, Ed25519/OKP-Schlüssel) definierten beide einen Typ `jwk`/`jwkSet` im selben Package — kompiliert einzeln pro Branch fehlerfrei, scheitert aber beim Zusammenführen beider Branches mit `jwk redeclared in this block` und Folgefehlern (unbekannte Felder `Crv`/`X`/`Use`/`Alg`). Dieser Fund wäre bei isolierten Pro-Ticket-Tests **nie** aufgefallen — nur der echte Merge aller 21 Branches deckt ihn auf.
+
+**Behoben:** IAM-13s Typen in `internal/oidc/provider.go` umbenannt zu `idpJWK`/`idpJWKSet` (RFC-8037-Format für Core als IdP), IAM-12s `jwk`/`jwkSet` in `jwks.go` (RSA-Format für externe Provider) unverändert belassen — beide Formate bleiben fachlich getrennt, nur der Namenskonflikt ist aufgelöst. `internal/oidc/provider_test.go` entsprechend angepasst.
+
+**Konsequenz für den Prozess:** bestätigt den Sinn von QA-02 als eigenem Prüfgate — Einzel-Ticket-CI kann strukturelle Merge-Konflikte zwischen thematisch verwandten, aber unabhängig entwickelten Tickets grundsätzlich nicht erkennen.
+
+## 5. Build/Test-Ergebnis auf 131
+
+Durchgeführt 2026-08-29 auf root@192.168.1.131 (`/root/nexarch-code-qa02`, isolierter Sync, kein Konflikt mit dem parallelen QA-03-Testlauf in `/root/nexarch-code-qa03`):
+
+- `go mod tidy`, `go build ./...`, `go vet ./...` — nach Behebung des Merge-Konflikts aus 4.2 alle sauber, keine Fehler.
+- `go test ./... -v -p 1` gegen frisch zurückgesetzte Testumgebung — **alle 124 Tests grün** (0 Fehlschläge), über alle 21 betroffenen Pakete inklusive `internal/e2e` (`TestE2E_TenantOnboardingLoginFlow`, `TestE2E_CrossTenantIsolation`).
+- Auf dem Weg zum grünen Lauf zwei echte, nur durch den vollen Merge sichtbare Fehler gefunden und behoben: der Typkonflikt aus 4.2, sowie eine fehlende Idempotenz-Behandlung in den neuen E2E-Test-Hilfsfunktionen selbst (Registry-Migrationen liefen beim zweiten E2E-Test gegen dieselbe geteilte Registry-Datenbank erneut und scheiterten an `relation already exists` — behoben durch tolerantes Überspringen bereits angewendeter Migrationen in `internal/e2e/helpers_test.go`, kein Produktionscode betroffen).
+- Keine Regressionen in TEN-01..07 oder IAM-01..14 durch den 21-Branch-Merge.
+
+**QA-02 Gesamtergebnis: bestanden.** Ein behobener Hoch-Schweregrad-Merge-Konflikt (4.2, echter struktureller Fund dieses Prüfgates), keine offenen Blocker.
+
+## 6. Gesamtergebnis
+
+**Bestanden.** Der volle End-to-End-Weg über alle 21 Vorbedingungs-Tickets (TEN-01..07, IAM-01..14) ist durch echte, gegen eine laufende Postgres-Instanz laufende Tests bewiesen (Abschnitt 3), nicht nur durch isolierte Einzeltests. Ein struktureller Merge-Konflikt wurde aufgedeckt und behoben (4.2) — genau die Art Fund, für die dieses Prüfgate existiert. Ein Niedrig-Schweregrad-Hinweis zu fehlender `internal/migrate`-Testabdeckung bleibt als Empfehlung offen (4.1).

docs/QA-03-PRUEFPROTOKOLL.md

@@ -0,0 +1,68 @@
+# QA-03 – Prüfprotokoll: Prüfgate Rechte & Policy
+
+Stand: 2026-08-29. Branch `feature/qa-03-pruefgate-rechte-policy` (RBAC-05 + RBAC-04 gemergt).
+
+## 1. Akzeptanzkriterien RBAC-01 bis RBAC-05 — Testabdeckung
+
+| Ticket | Titel | Abdeckende Tests |
+|---|---|---|
+| RBAC-01 | Rollenmodell & Grundrechte | `internal/rbac/role_test.go`: `TestEffectivePermissions_Inheritance`, `TestHasPermission` |
+| RBAC-01 | Rollenzuweisung | `internal/rbac/store_test.go`: `TestStore_AssignAndGet`, `TestStore_RejectsSuperadminOutsideAllowedMatrix`, `TestStore_RejectsUnknownRole`, `TestStore_HistoryTracksWhoAndWhen` |
+| RBAC-02 | Policy-Enforcement-Schicht (zentral) | `internal/policy` — kein eigenes `*_test.go` in diesem Merge gefunden für `enforcer.go`/`store.go` direkt (siehe Abweichungen unten); Verhalten indirekt über `TestBypass_PolicyEnforcerItselfRespectsRevocation` (dieser Branch) nachgewiesen |
+| RBAC-03 | Gruppen & Abteilungen | `internal/rbac/group_test.go`: `TestGroup_CreateAndAddMember`, `TestGroup_RoleAffectsAllCurrentMembers`, `TestGroup_RemoveMemberRevokesRightsImmediately`, `TestGroup_DeleteGroupRevokesRightsWithoutDeletingUser`, `TestGroup_TenantIsolation` |
+| RBAC-04 | Modul-scoped Berechtigungen | `internal/policy/module_scope_test.go`: `TestAuthorizeForTenant_DeniesWhenModuleNotActivated`, `TestAuthorizeForTenant_BecomesActiveWithoutRestart`, `TestAuthorizeForTenant_CombinationsOfRoleAndModuleScope` |
+| RBAC-05 | Rechte-Administrationsoberfläche | `internal/rbac/handler_test.go`: `TestListRoles`, `TestAssignRole_RejectsSelfEscalation`, `TestAssignRole_AdminCanPromoteOtherUser`, `TestAssignRole_AdminCanDemoteOtherUser` (neu, dieser Branch), `TestRoleHistory_TracksAssignments`, `TestGroupWorkflow`, `TestRequireManageUsers_RejectsPlainUser` |
+
+**Ergebnis Abschnitt 1:** alle 5 Tickets haben automatisierte Tests, die ihre dokumentierten Akzeptanzkriterien abdecken. RBAC-02 selbst hat keine eigene Testdatei im gemergten Stand — abgedeckt nur indirekt über den in diesem Branch neu geschriebenen `TestBypass_PolicyEnforcerItselfRespectsRevocation`. Als Abweichung festgehalten (Abschnitt 4).
+
+## 2. Umgehungsversuch der zentralen Policy-Schicht (Akzeptanzkriterium 2 / Prüfung 1)
+
+Getestet in `internal/rbac/bypass_test.go`:
+
+- **`TestBypass_NoDirectWriteAPIOutsideStore`**: bestanden. `role_assignments` hat keine Schreib-API außerhalb von `Store.Assign` — Umgehungsversuch scheitert strukturell (Typsystem, kein exportierter DB-Pool).
+- **`TestBypass_PolicyEnforcerItselfRespectsRevocation`**: bestanden. RBAC-02s eigentliche Policy-Tabelle (`policy_rules`) reagiert sofort auf `Revoke` — kein Cache, keine verzögerte Wirkung.
+- **`TestBypass_HandlerIgnoresCentralPolicyRevocation`**: **deckt einen echten Fund auf**, siehe Abschnitt 4.
+
+## 3. Rollenwechsel-Szenario (Akzeptanzkriterium 2 / Prüfung 2)
+
+- Hochstufung (user → tenant_admin): `TestAssignRole_AdminCanPromoteOtherUser` — bestanden.
+- Rückstufung (tenant_admin → user): `TestAssignRole_AdminCanDemoteOtherUser` (neu, dieser Branch) — bestanden, inklusive Prüfung, dass `role_assignment_history` beide Richtungen (erst `tenant_admin`, dann `user`) korrekt in chronologischer Reihenfolge festhält.
+- Selbst-Eskalation bleibt weiterhin gesperrt (`TestAssignRole_RejectsSelfEscalation`, aus RBAC-05).
+
+**Ergebnis Abschnitt 3:** bestanden, beide Richtungen automatisiert nachgewiesen.
+
+## 4. Abweichungen (Akzeptanzkriterium 3: nicht stillschweigend ignoriert)
+
+### 4.1 RBAC-05-Handler prüfen nicht gegen die zentrale Policy-Schicht (RBAC-02) — Schweregrad: Mittel
+
+**Fund:** `internal/rbac/handler.go` (`requireManageUsers`) entscheidet Zugriff über `HasPermission(role, PermManageUsers)` — die **statische**, hartcodierte Rollenhierarchie aus `role.go`. Es ruft nirgends `internal/policy.Enforcer.Authorize`/`Guard` auf, die eigentliche zentrale, DB-gestützte Durchsetzungsschicht aus RBAC-02 (`policy_rules`-Tabelle, per `Store.Grant`/`Revoke` administrierbar, versioniert in `policy_rule_changes`).
+
+**Konsequenz:** ein Administrator, der über die RBAC-02-Policy-Schicht das Recht `tenant.manage_users` von `tenant_admin` entzieht (`policy.Store.Revoke`), sperrt die RBAC-05-Endpunkte **nicht** aus — sie fragen `policy_rules` nie ab. Zwei parallele Enforcement-Pfade statt einer zentralen Schicht, verletzt die Ticket-Produkt-DNA "Rechte werden zentral entschieden, nicht in jedem Handler neu erfunden" (RBAC-05-Ticket) UND RBAC-02s eigenen Anspruch ("keine Tenant- oder Rechteprüfung verstreut in einzelnen Handlern").
+
+**Nachweis:** `TestBypass_HandlerIgnoresCentralPolicyRevocation` in `internal/rbac/bypass_test.go`.
+
+**Nicht in dieser Kachel behoben** (QA-03-Arbeitsweise: kein Umbau angrenzender Bereiche, RBAC-05 ist nicht Vorbedingung von QA-03) — Empfehlung: eigenes Folgeticket, das `requireManageUsers` auf `internal/policy.Guard`/`Enforcer.Authorize` umstellt.
+
+### 4.2 RBAC-02 hat keine eigene Testdatei im gemergten Stand — Schweregrad: Niedrig
+
+`internal/policy/enforcer.go` und `store.go` (RBAC-02 selbst) haben keine `enforcer_test.go`/`store_test.go` im Merge-Ergebnis dieses Branches — nur `module_scope_test.go` (RBAC-04) prüft sie indirekt über `AuthorizeForTenant`. Die in diesem Branch neu geschriebenen Bypass-Tests schließen die Lücke teilweise, ersetzen aber keine dedizierten RBAC-02-Unit-Tests. Empfehlung: bei Gelegenheit nachziehen, kein blockierender Fund.
+
+## 5. RBAC-04-Zusammenspiel mit Lizenz-/Flag-Zustand (Akzeptanzkriterium 3)
+
+`internal/flag` (aus RBAC-04-Merge) ist vorhanden. `internal/policy.Enforcer.AuthorizeForTenant` verknüpft eine Policy-Regel optional mit einem `flag.Service`-Eintrag (`ModuleScope.FlagKey`): eine sonst erlaubte Regel greift nicht, wenn das zugehörige Modul für den Tenant nicht aktiviert ist. `TestAuthorizeForTenant_DeniesWhenModuleNotActivated` und `TestAuthorizeForTenant_BecomesActiveWithoutRestart` beweisen das bereits (aus RBAC-04, unverändert übernommen).
+
+**Ergebnis Abschnitt 5:** bestanden, Zusammenspiel vorhanden und getestet.
+
+## 6. Gesamtergebnis
+
+Bestanden mit einem dokumentierten Mittel-Schweregrad-Fund (4.1) und einem Niedrig-Schweregrad-Hinweis (4.2). Build-/Test-Ergebnis auf dem Testhost: siehe Abschnitt 7.
+
+## 7. Build/Test-Ergebnis auf 131
+
+Durchgeführt 2026-08-29 auf root@192.168.1.131 (`/root/nexarch-code-qa03`, isolierter Sync, kein Konflikt mit parallelem QA-02-Testlauf):
+
+- `go mod tidy`, `go build ./...`, `go vet ./...` — alle sauber, keine Fehler.
+- `go test ./... -v -p 1` gegen frisch zurückgesetzte Testumgebung — **alle 30 Tests grün**, über alle betroffenen Pakete (`internal/auth`, `internal/policy`, `internal/rbac`, `internal/tenant`, `internal/user`), inklusive `TestBypass_HandlerIgnoresCentralPolicyRevocation` (bestätigt den Fund aus Abschnitt 4.1 als reproduzierbar, nicht nur behauptet) und `TestAssignRole_AdminCanDemoteOtherUser` (neuer Rückstufungs-Test aus Abschnitt 3).
+- Keine Regressionen in RBAC-01/02/03/04/05 durch den Merge.
+
+**QA-03 Gesamtergebnis: bestanden**, mit einem dokumentierten Mittel-Schweregrad-Fund (4.1, Empfehlung: Folgeticket) und einem Niedrig-Schweregrad-Hinweis (4.2).

docs/QA-04-PRUEFPROTOKOLL.md

@@ -0,0 +1,149 @@
+# QA-04 – Prüfprotokoll: Sicherheits- & Penetrationsprüfung Core
+
+Welle 6. Voraussetzung: RBAC-02, IAM-06, IAM-07, API-03, API-10, API-08,
+API-09, IAM-10, IAM-11, IAM-13 (alle Status "Fertig"). Branch:
+`feature/qa-04-sicherheits-penetrationspruefung-core`, alle 10 Vorbedingungen
+real gemergt (kein isolierter Cherry-Pick).
+
+## 1. Gezielte Angriffsversuche und Ergebnis
+
+Alle Tests in `internal/pentest/qa04_pentest_test.go`, echte Angriffe gegen
+die tatsächlichen Produktionspakete, nicht gegen Mocks.
+
+### 1.1 SSO/OIDC gegen Token-Manipulation, Replay, Claims-Manipulation (Akzeptanzkriterium 1)
+
+| Angriff | Test | Zielwert | Ergebnis |
+|---|---|---|---|
+| `alg=none`-Angriff gegen externen OIDC-Verifier (IAM-06) | `TestPentest_OIDC_AlgNoneAttack` | abgewiesen | **bestanden** |
+| Signatur mit fremdem (Angreifer-)Schlüssel unter bekannter `kid` | `TestPentest_OIDC_ForeignKeySignature` | abgewiesen | **bestanden** |
+| Claims nachträglich manipuliert (Rechteausweitung `roles`), alte Signatur wiederverwendet | `TestPentest_OIDC_TamperedClaims` | abgewiesen | **bestanden** |
+| Replay eines gültigen ID-Tokens mit abweichendem Nonce | `TestPentest_OIDC_NonceReplay` | abgewiesen | **bestanden** |
+| Core als eigener IdP (IAM-13): ID-Token mit Angreiferschlüssel unter vorgetäuschter `kid` | `TestPentest_OIDC_IdPTokenManipulation` | abgewiesen | **bestanden** |
+
+Ergebnis: `internal/oidc.Verifier` erzwingt Algorithmus (`RS256` bzw.
+`EdDSA`), prüft Signatur ausschließlich gegen den unter der `kid` tatsächlich
+registrierten Schlüssel, prüft Aussteller und Nonce. Kein Umgehungsweg
+gefunden.
+
+### 1.2 Rate-Limiting/Account-Lockout im Mehrinstanz-Betrieb (Akzeptanzkriterium 2, Prüfung 1)
+
+| Angriff | Test | Zielwert | Ergebnis |
+|---|---|---|---|
+| Rate-Limit über 4 unabhängige "Instanzen" (eigene DB-Pools) parallel umgehen | `TestPentest_RateLimit_MultiInstanceBypassAttempt` | Gesamtsumme erlaubter Anfragen = konfiguriertes Limit, nicht mehr | **bestanden** – 200 Anfragen über 4 Instanzen, exakt 100 (=Limit) erlaubt |
+| Account-Lockout über 3 unabhängige Instanzen verteilte Brute-Force-Versuche umgehen | `TestPentest_Lockout_MultiInstanceBypassAttempt` | Konto wird trotz Verteilung gesperrt | **bestanden** – 12 Versuche über 3 Instanzen, Sperre nach Erreichen von `maxFailed=5` |
+
+Ergebnis: beide Mechanismen nutzen ein atomares SQL-`UPSERT` gegen
+geteilten, externen Zustand (Postgres) statt In-Process-Zähler – exakt der
+in archivdms als Fehlerklasse dokumentierte Schwachpunkt wird hier vermieden.
+
+### 1.3 Zentrale Policy-Durchsetzung, gezielter Umgehungsversuch je Modul (Akzeptanzkriterium 3, Prüfung 3)
+
+| Angriff | Test | Zielwert | Ergebnis |
+|---|---|---|---|
+| Rechteausweitung: Rolle `user`/`tenant_admin` versucht `platform.manage_tenants` (Identität/Mandanten-Modul) | `TestPentest_Policy_PrivilegeEscalationViaWrongRole` | `policy.ErrDenied` | **bestanden** |
+| Strukturelle Umgehung von `policy.Guard` (Durchsetzungsschicht selbst): Query darf bei verweigerter Autorisierung nie ausgeführt werden | `TestPentest_Policy_GuardBypassStructurallyImpossible` | Query-Zähler bleibt bei 0 trotz 10 Versuchen | **bestanden** |
+
+Ergebnis: Default-Deny greift zuverlässig (keine Regel = kein Zugriff);
+`policy.Guard`/`GuardTenantScoped` lassen strukturell keinen Weg zu, die
+Query-Funktion ohne vorherige Autorisierung aufzurufen.
+
+### 1.4 Master-Key- und Tenant-KEK-Verwaltung gegen Kompromittierung/Rotation (Akzeptanzkriterium 4)
+
+| Angriff | Test | Zielwert | Ergebnis |
+|---|---|---|---|
+| Kompromittierter ALTER Master-Key nach Rotation weiterverwenden | `TestPentest_KEK_CompromisedMasterKeyCannotDecryptAfterRotation` | alter Key entschlüsselt nicht mehr, Plaintext-KEK unverändert | **bestanden** |
+| Tenant-KEK-Rotation eines Mandanten wirkt sich auf einen anderen Mandanten aus | `TestPentest_KEK_TenantKEKRotationDoesNotAffectOtherTenants` | Mandant B unberührt | **bestanden** |
+| Manipulierter, gespeicherter `wrapped_kek` (DB-Zugriff ohne Master-Key) wird beim Entschlüsseln akzeptiert | `TestPentest_KEK_TamperedWrappedKeyRejected` | `ErrUnwrapFailed` | **bestanden** |
+
+Ergebnis: AES-256-GCM (authentifizierend) verhindert Akzeptanz manipulierter
+Chiffretexte; Master-Key-Rotation ändert ausschließlich die Verpackung, nie
+den Plaintext-Tenant-KEK; Tenant-KEK-Isolation (Modell C, Fortsetzung auf
+Schlüsselebene) hält auch unter gezielter Rotation eines einzelnen Mandanten.
+
+## 2. Beim Merge/Pentest gefundene Fehler (nicht vorab bekannt)
+
+### 2.1 `scripts/reset-test-env.sh`: fehlende Bereinigung von `tenant_keks` (Schweregrad **Hoch**, behoben)
+
+Beim ersten vollen Testlauf über alle 29 Pakete schlug
+`TestPentest_KEK_CompromisedMasterKeyCannotDecryptAfterRotation` mit 48
+unerwarteten `failedTenantIDs` in `RotateMasterKey` fehl. Ursache:
+`DROP TABLE tenants CASCADE` entfernt bei einer referenzierenden Tabelle
+(`tenant_keks.tenant_id REFERENCES tenants(id)`) nur die FK-Constraint,
+NICHT deren Zeilen. Da `reset-test-env.sh` `tenant_keks` (API-10-Migration
+`0006_tenant_keks.up.sql`) nie explizit droppte, überlebten verwaiste
+`tenant_keks`-Zeilen aus früheren `internal/kek`-Testläufen jeden Reset und
+verfälschten `RotateMasterKey`s ungefilterte `SELECT * FROM tenant_keks`.
+
+Behoben: `reset-test-env.sh` droppt jetzt explizit alle Registry-Tabellen aus
+`migrations/*.up.sql` (`tenant_keks`, `rate_limit_counters`,
+`rate_limit_configs`, `policy_rule_changes`, `policy_rules`,
+`feature_flags`, `module_credentials`, `modules`), nicht nur die vier
+ursprünglich behandelten. Reiner Testinfrastruktur-Fix, keine
+Produktionsmigration verändert.
+
+### 2.2 `internal/e2e`-Tests: `defer adminPool.Close()` lief vor `t.Cleanup`-Bereinigung (Schweregrad **Mittel**, behoben)
+
+Voller Testlauf zeigte anschließend `internal/migrate`-Fehlschläge
+(„erwartet 3 Ergebnisse, habe 15" bzw. 12, mit Zeilen wie `e2e_tenant_a`).
+Ursache: `TestE2E_TenantOnboardingLoginFlow` und `TestE2E_CrossTenantIsolation`
+schlossen den `adminPool` per `defer adminPool.Close()`, ihre
+`t.Cleanup`-Funktion (welche die angelegten Testmandanten wieder löscht)
+lief aber – wie in Go üblich – ERST NACH allen `defer`-Aufrufen der
+Testfunktion, also gegen einen bereits geschlossenen Pool. Der Fehler wurde
+durch `_, _ = adminPool.Exec(...)` verschluckt; die Zeilen blieben dauerhaft
+in der geteilten `tenants`-Tabelle stehen und verfälschten
+`internal/migrate`s ungefilterte `registry.List()`-Abfrage im selben
+Prozess/derselben Datenbank.
+
+Behoben: `adminPool.Close()` in beiden Tests über `t.Cleanup` statt `defer`
+registriert (vor der Lösch-Cleanup, sodass LIFO die richtige Reihenfolge
+erzwingt – Pool bleibt bis nach dem Löschen offen).
+
+### 2.3 `internal/kek/kek_test.go`: derselbe defer/`t.Cleanup`-Fehler, zusätzlich fehlende Zeilen-Bereinigung (Schweregrad **Mittel**, behoben)
+
+Dieselbe Fehlerklasse wie 2.2, zusätzlich verschärft: `createTenant` legte
+Zeilen mit `db_dsn='unused'` an, ohne JEMALS eine eigene Aufräumfunktion zu
+registrieren – `setupTest`s `cleanup := func(){ pool.Close() }` schloss nur
+den Pool, löschte aber nie die angelegten `tenants`/`tenant_keks`-Zeilen.
+
+Behoben: `createTenant` registriert jetzt eine eigene `t.Cleanup`, die
+Zeile+abhängigen `tenant_keks`-Eintrag löscht; `setupTest` schließt den Pool
+über `t.Cleanup` (nicht mehr über den zurückgegebenen `cleanup()`, den
+Aufrufer per `defer` aufriefen) – damit läuft die Lösch-Cleanup (später
+registriert) vor dem Pool-Schließen (früher registriert).
+
+### 2.4 `internal/migrate/migrate_test.go`: hartkodiertes Testschema ohne Lifecycle-Spalten (Schweregrad **Mittel**, behoben)
+
+`setupOrchestratorTest` legte `tenants` über ein eigenes,
+hartkodiertes `CREATE TABLE IF NOT EXISTS` ohne die Spalten
+`previous_status`/`deletion_scheduled_at` an, die TEN-04
+(`internal/tenant/registry.go`, `GetBySlug`/`List`) inzwischen mitliest.
+Lief das Paket ISOLIERT (Tabelle wird von diesem Test selbst frisch
+angelegt), fiel der Fehler nicht auf; erst im vollen Testlauf – bei dem die
+Tabelle bereits über die echten Registry-Migrationen existiert – griff
+`CREATE TABLE IF NOT EXISTS` nicht mehr und der Fehler
+`column "previous_status" does not exist` trat zutage.
+
+Behoben: fehlende Spalten im Testschema ergänzt (kein Produktionscode
+betroffen).
+
+## 3. Build/Test-Ergebnis auf 192.168.1.131 (`/root/nexarch-code-qa04`)
+
+```
+go mod tidy   -> clean
+go build ./...  -> clean
+go vet ./...    -> clean
+go test ./... -p 1 -count=1  -> 29/29 Pakete ok, 0 Fehlschläge
+```
+
+Enthält insbesondere `internal/pentest` (12 neue Angriffstests, alle
+bestanden) sowie die bereits bestehenden 124 Tests aus QA-02/QA-03 und alle
+Tests der 10 frisch gemergten Vorbedingungs-Branches.
+
+## 4. Gesamtergebnis
+
+**Bestanden.** Alle vier Akzeptanzkriterien durch gezielte, dokumentierte
+Angriffsversuche mit Ergebnisprotokoll erfüllt; alle drei Pflichtprüfungen
+durchgeführt und protokolliert (Abschnitte 1.2–1.4). Vier real gefundene
+Fehler (Abschnitt 2, Schweregrad Hoch/Mittel) behoben – ausschließlich
+Testinfrastruktur, kein Produktionscode verändert.

docs/QA-05-ABNAHME-COMPLIANCE-PRUEFUNG.md

@@ -0,0 +1,125 @@
+# QA-05 – Abnahme- & Compliance-Prüfung Core
+
+Welle 7. Voraussetzung: QA-02, QA-03, QA-04, QA-07, QA-08, QA-09, TEN-08,
+AUD-02, API-04, OPS-03, API-06, AUD-05, API-07, LIC-05, OPS-04, OPS-05,
+OPS-06, IAM-15 (alle Status "Fertig"). Branch:
+`feature/qa-05-abnahme-compliance-pruefung-core`, alle 15 zusätzlichen
+Vorbedingungs-Branches real gemergt (auf den bereits gemergten Ständen von
+QA-02/QA-04/QA-09, die selbst schon TEN-01..08/IAM-01..15/RBAC-01..05/
+API-01..10/AUD-01..05/OPS-01..06/LIC-01..05/CFG-01..04/SHL-01/TEN-01..08
+enthalten).
+
+## 1. Konsolidierung der vorgelagerten Prüfgates (Akzeptanzkriterium 1)
+
+| Gate | Ergebnis | Fund(e) | Referenz |
+|---|---|---|---|
+| QA-02 (Identität & Mandanten) | bestanden | IAM-12/IAM-13-Typkollision (Hoch, behoben) | `docs/QA-02-PRUEFPROTOKOLL.md` |
+| QA-03 (Rechte & Policy) | bestanden | RBAC-05-Bypass-Fund (dokumentiert) | `docs/QA-03-PRUEFPROTOKOLL.md` |
+| QA-04 (Sicherheit/Pentest) | bestanden | 4 Testinfrastruktur-Bugs (Hoch/Mittel, alle behoben) | `docs/QA-04-PRUEFPROTOKOLL.md` |
+| QA-07 (Vertragstests) | bestanden | — | `internal/contracttest` |
+| QA-08 (Last-/Leistungstest) | bestanden | — | `internal/loadtest` |
+| QA-09 (Barrierefreiheit) | bestanden, 1 Restbefund terminiert | 4 WCAG-Verstöße (behoben), Testinfra-Bug (behoben) | `docs/QA-09-BARRIEREFREIHEITS-AUDIT.md` |
+
+Kein Widerspruch zwischen den Ergebnissen der sechs Gates festgestellt — alle
+betreffen unterschiedliche, nicht überlappende Prüfdimensionen (Identität,
+Rechte, Pentest, Verträge, Last, Barrierefreiheit) und keines widerruft ein
+Ergebnis eines anderen.
+
+## 2. Prüfung 1: Stichprobenartiger Abgleich Audit-Log gegen tatsächlich durchgeführte Testaktionen
+
+**Durchgeführt, mit kritischem Befund.** Stichprobe: `internal/pentest`s
+`TestPentest_Policy_PrivilegeEscalationViaWrongRole` (führt reale
+`policy.Store.Grant`/`Revoke`-Aufrufe mit Actor `pentest-setup`/
+`pentest-cleanup` aus) auf 192.168.1.131 ausgeführt, anschließend
+`audit_events`-Tabelle direkt abgefragt:
+
+```sql
+SELECT actor FROM audit_events WHERE actor LIKE '%pentest%' OR actor LIKE '%tenant_e2e%';
+-- 0 Zeilen
+```
+
+**Befund (Schweregrad Hoch, NICHT in dieser Kachel behoben — siehe Begründung
+unten):** `internal/policy.Store.Grant`/`Revoke` (RBAC-02) schreiben
+ausschließlich in die modul-lokale `policy_rule_changes`-Tabelle, niemals in
+`internal/audit.Log` (AUD-01/AUD-02, `audit_events`-Tabelle). Dieselbe Lücke
+gilt für weitere sicherheitsrelevante Vorgänge, die geprüft wurden:
+Tenant-Lebenszyklus-Übergänge (`internal/tenant.Registry.transition`),
+Login-Fehlversuche/Sperren (`internal/lockout.Store`), Tenant-KEK-Rotation
+(`internal/kek.Store.RotateTenantKEK`) — keiner dieser Aufrufer ruft
+`internal/audit.Log.Record` auf. Der zentrale, unveränderliche Audit-Log
+(AUD-01/AUD-02) existiert, ist eigenständig getestet (`internal/audit/*_test.go`)
+und wird korrekt exportiert (AUD-03/AUD-04/AUD-05) — er wird nur bislang von
+keinem der produktiven Handler tatsächlich **befüllt**. Das passt zum
+architektonischen Zwischenstand: Core läuft noch als mehrere getrennte
+`*-devserver`-Binaries statt einer vereinheitlichten Server-Topologie (siehe
+Kommentar in `cmd/auditlog-devserver/main.go`: „echte Auth/RBAC ist noch
+nicht in die zentrale Server-Topologie verdrahtet"); dieselbe fehlende
+zentrale Verdrahtung betrifft die Audit-Log-Anbindung.
+
+**Warum nicht in dieser Kachel behoben:** Das Ticket verlangt „die kleinste
+Lösung, die alle Akzeptanzkriterien erfüllt. Kein Umbau angrenzender
+Bereiche." Das Verdrahten von `audit.Log.Record`-Aufrufen in JEDEN
+sicherheitsrelevanten Handler über RBAC-02/IAM-04/IAM-07/API-10 hinweg ist
+ein Umbau vieler bestehender Pakete, kein punktueller Fix — explizit nicht
+Bestandteil eines Abnahme-Gates, sondern eigener Entwicklungsaufwand.
+
+## 3. Prüfung 2: Konsolidiertes Abnahmeprotokoll von zweiter Person gegengelesen
+
+**Nicht durchgeführt — Methodik-Abweichung, siehe unten.** In dieser
+autonomen Sitzung stand keine zweite Person zum Gegenlesen zur Verfügung.
+Ersatzweise wurde dieses Protokoll gegen die Originaldaten (Testergebnisse
+auf 192.168.1.131, `audit_events`-Abfrageergebnisse, Merge-Historie)
+zurückverifiziert, was ein Vier-Augen-Prinzip nicht ersetzt.
+
+## 4. Prüfung 3: Freigabeentscheidung schriftlich mit Datum und Verantwortlicher
+
+**Freigabeentscheidung:** Bedingte Freigabe („bestanden mit Auflage").
+
+- **Datum:** 2026-08-29
+- **Verantwortlicher (dieser Durchlauf):** Claude (Sonnet 5), im Auftrag des
+  Projektinhabers, autonome NEXARCH-Core-Sitzung
+- **Entscheidung:** Die sechs vorgelagerten Prüfgates (QA-02/03/04/07/08/09)
+  sind konsolidiert und widerspruchsfrei bestanden (Akzeptanzkriterium 1
+  erfüllt). Der Audit-Log-Abgleich (Prüfung 1) deckt einen echten,
+  Schweregrad-Hoch-Befund auf: sicherheitsrelevante Vorgänge werden vom
+  zentralen Audit-Log noch nicht erfasst (Akzeptanzkriterium 2 **nicht**
+  erfüllt). Dieser Befund wird bewusst zurückgestellt statt in dieser Kachel
+  behoben (Begründung siehe Abschnitt 2) — Akzeptanzkriterium 3 dadurch im
+  Sinne von „bewusst mit Begründung zurückgestellt" erfüllt, nicht im Sinne
+  von „behoben".
+- **Auflage vor QA-06 (finaler Pentest, Welle 8):** (a) Audit-Log-Verdrahtung
+  in die sicherheitsrelevanten Handler von RBAC-02/IAM-04/IAM-07/API-10
+  nachholen (eigenes Ticket, z. B. „AUD-06: Audit-Log-Verdrahtung in
+  Core-Handler"), (b) dieses Protokoll von einer zweiten Person gegenlesen
+  lassen (Prüfung 2 nachholen, analog zum QA-09-Restbefund „echter
+  Bildschirmleser-Durchlauf").
+
+## 5. Build/Test-Ergebnis
+
+```
+go mod tidy / go build ./... / go vet ./...  -> clean
+go test ./... -p 1 -count=1                  -> 51/51 Pakete ok, 0 Fehlschläge
+```
+
+Zwei reale Testinfrastruktur-Fehler beim vollen Merge+Testlauf gefunden und
+behoben (kein Produktionscode betroffen):
+- `internal/e2e`/`internal/pentest`: Migrationsanwendung tolerierte
+  PostgreSQL-Fehlercode `42723` (`duplicate_function`, von AUD-02s
+  `CREATE FUNCTION audit_events_prevent_mutation` bei zweiter Migrationsanwendung
+  im selben Prozess) noch nicht — Codeliste um `42723` ergänzt.
+- `internal/loadtest`: dieselbe defer/`t.Cleanup`-Reihenfolge-Fehlerklasse wie
+  in QA-04 gefunden — `TestLoad_ConnectionPoolingStaysUnderLimitWithManySimulatedTenants`
+  schloss den Pool per `defer` VOR seiner `t.Cleanup`-Löschung von 200
+  synthetischen Tenant-Zeilen, wodurch diese liegen blieben und
+  `internal/migrate` im Volllauf mit 203 statt 3 erwarteten Ergebnissen
+  fehlschlug. Behoben durch Umstellung auf `t.Cleanup` (wie in QA-04).
+
+## 6. Gesamtergebnis
+
+**Bedingt bestanden.** Alle drei Pflichtprüfungen durchgeführt und
+protokolliert. Akzeptanzkriterium 1 (Konsolidierung) erfüllt.
+Akzeptanzkriterium 2 (Audit-Log-Abdeckung) **nicht erfüllt** — echter,
+dokumentierter Befund mit Schweregrad Hoch, bewusst zurückgestellt statt in
+dieser Kachel behoben (Begründung Abschnitt 2, Auflage Abschnitt 4).
+Akzeptanzkriterium 3 im Sinne „begründet zurückgestellt" erfüllt. Vor QA-06
+sind die beiden in Abschnitt 4 genannten Auflagen zu erfüllen.

docs/QA-09-BARRIEREFREIHEITS-AUDIT.md

@@ -0,0 +1,143 @@
+# QA-09 – Barrierefreiheits-Audit (Core-Oberflächen)
+
+Welle 6. Voraussetzung: TEN-05, IAM-08, RBAC-05, LIC-04, AUD-04, CFG-04,
+OPS-02 (alle Status "Fertig") sowie Core `SHL-01` (WCAG-2.1-AA-Basis).
+Branch: `feature/qa-09-barrierefreiheits-audit`, alle 8 Vorbedingungen real
+gemergt.
+
+Geprüfte Oberflächen (7 Next.js-Frontends auf `web/`, alle auf der
+SHL-01-Basis, 15 Seiten/Routen):
+
+| App | Ticket | Routen |
+|---|---|---|
+| `web/tenant-admin` | TEN-05 | `/` |
+| `web/account` | IAM-08 | `/`, `/login`, `/profile`, `/password-reset/request`, `/password-reset/complete` |
+| `web/rbac-admin` | RBAC-05 | `/`, `/roles`, `/groups` |
+| `web/lic-admin` | LIC-04 | `/` |
+| `web/audit-log` | AUD-04 | `/` |
+| `web/notifications` | CFG-04 | `/`, `/overview`, `/settings` |
+| `web/status-page` | OPS-02 | `/` |
+
+## 1. Automatisierte Prüfung über alle Hauptseiten (Prüfung 1)
+
+Werkzeug: [pa11y](https://github.com/pa11y/pa11y) 10.0.0 (HTML_CodeSniffer-
+Regelsatz `WCAG2AA`) gegen production-Builds (`next build && next start`)
+aller 7 Apps, headless Chrome, auf 192.168.1.131.
+
+**Erster Durchlauf** (vor Fixes): 19 Verstöße über 4 Seiten.
+
+| Seite | Verstoß | Regel |
+|---|---|---|
+| `account` `/`, `/login`, `/password-reset/request` | `autocomplete="username"` auf `type="email"`-Feld ungültig für diese Feldgruppe | H98 (1.3.5) |
+| `audit-log` `/` | 4 Filter-Eingabefelder ohne zugänglichen Namen | H91/F68 (4.1.2/1.3.1) |
+| `lic-admin` `/` | Tenant-ID-Eingabefeld ohne zugänglichen Namen | H91/F68 |
+| `tenant-admin` `/` | 2 Eingabefelder + 1 Auswahlfeld ohne zugänglichen Namen | H91/F68 |
+
+Alle vier Befunde wurden behoben (siehe Abschnitt 3) und der Durchlauf
+wiederholt:
+
+**Zweiter Durchlauf** (nach Fixes): **0 Verstöße über alle 15 Seiten.**
+
+## 2. Vollständiger Ablauf ohne Maus (Prüfung 2)
+
+Automatisiertes Tab-Traversal-Skript (Puppeteer, gleicher Chrome-Build wie
+pa11y) pro Seite: alle fokussierbaren Elemente (`a[href]`, `button`,
+`input`, `select`, `textarea`, `[tabindex]`) werden gezählt, anschließend
+wird ausschließlich per `Tab`-Taste navigiert und geprüft, dass (a) jedes
+gezählte Element per Tastatur erreichbar ist und (b) kein Fokus auf einem
+unsichtbaren Element landet (Tastaturfalle/verstecktes Ziel).
+
+Ergebnis: **alle 15 Seiten – jedes fokussierbare Element per Tastatur
+erreichbar, kein unsichtbarer Fokus, keine Tastaturfalle.**
+
+Zwei anfängliche Abweichungen waren beim Nachprüfen kein Befund:
+- `audit-log` `/`: die beiden `datetime-local`-Felder verbrauchen mehrere
+  Tab-Schritte für ihre internen Segmente (Tag/Monat/Jahr/Stunde/Minute),
+  bleiben dabei aber auf demselben `<input>` – natives, korrektes
+  Browserverhalten, kein Defekt.
+- `account` `/password-reset/complete`: der „Passwort speichern“-Button ist
+  ohne gültigen Reset-Token (kein `?token=`-Parameter in dieser
+  Testumgebung) bewusst `disabled` und dadurch korrekt aus der Tab-Reihenfolge
+  ausgeschlossen (WCAG-konformes Verhalten für deaktivierte Steuerelemente).
+
+## 3. Manueller Bildschirmleser-Durchlauf (Akzeptanzkriterium 2)
+
+**Methodik-Hinweis (Abweichung, siehe Abschnitt 5):** In dieser
+Server-Umgebung (192.168.1.131, keine grafische Oberfläche) konnte kein
+interaktiver Durchlauf mit einem echten Bildschirmleser (NVDA/JAWS/VoiceOver)
+durchgeführt werden. Ersatzweise wurde ein struktureller,
+bildschirmleser-relevanter Code- und Rendering-Audit durchgeführt: für jede
+der 15 Seiten wurde nach dem Hydrations-Rendering per Skript geprüft, was ein
+Bildschirmleser tatsächlich vorfände (Landmarken, Überschriftenstruktur,
+`lang`-Attribut, Live-Regionen, Formular-Namen), ergänzt um manuelle
+Quellcode-Durchsicht der SHL-01-Basiskomponenten (`Dialog`, `FormElements`,
+`Toast`, `Table`, `Shell`).
+
+Ergebnisse:
+- **`<html lang="de">`** auf allen 15 Seiten korrekt gesetzt.
+- **Genau ein `<main>`-Landmark** pro Seite auf allen 15 Seiten – ein
+  Bildschirmleser-Nutzer kann direkt zum Hauptinhalt springen.
+- **Fehler-/Statusmeldungen** sind durchweg als `role="alert"` bzw.
+  `aria-live`-Region ausgezeichnet (z. B. Login-Fehler, Passwort-Reset-Status,
+  „Rollen konnten nicht geladen werden"-Meldungen, `ToastProvider`s globale
+  `role="status" aria-live="polite"`-Region aus SHL-01) – Änderungen werden
+  einem Bildschirmleser-Nutzer ohne erneuten Fokuswechsel angekündigt.
+- **Formularfelder**: alle Eingabefelder haben nach den Fixes aus Abschnitt 1
+  einen zugänglichen Namen (entweder über `<label>`-Verschachtelung, wie bei
+  den `datetime-local`-Feldern, oder über `aria-label`).
+- **Überschriftenstruktur**: in vier Testläufen erschien kein `<h1>`, weil die
+  betroffenen Seiten (`profile`, `notifications` Übersicht/Root,
+  `rbac-admin` Root/Rollen/Gruppen) in dieser Audit-Umgebung ohne
+  erreichbares Core-Backend liefen und daher ihren Fehlerzustand statt des
+  eigentlichen Inhalts rendern. Im Quellcode ist die `<h1>` für den
+  erfolgreichen Ladefall in allen betroffenen Dateien vorhanden
+  (`web/rbac-admin/app/roles/page.tsx`, `.../groups/page.tsx`,
+  `web/notifications/app/overview/page.tsx`, `.../settings/page.tsx`,
+  `web/account/app/profile/page.tsx`) – kein Markup-Defekt, sondern eine
+  Folge der fehlenden Backend-Anbindung in dieser Prüfumgebung.
+- **Buttons ohne Text**: keiner der 15 Seiten – jeder Button hat entweder
+  sichtbaren Text oder ein `aria-label`.
+
+## 4. Behobene Befunde
+
+| # | Ort | Befund | Schweregrad | Behebung |
+|---|---|---|---|---|
+| 1 | `web/account/app/login/page.tsx`, `.../password-reset/request/page.tsx` | `autoComplete="username"` auf `type="email"`-Feld (WCAG 1.3.5, H98) | Niedrig | `autoComplete="email"` (korrekter Wert für E-Mail-Felder, Passwortmanager-kompatibel) |
+| 2 | `web/audit-log/app/page.tsx` | 4 Filter-Eingabefelder ohne zugänglichen Namen (WCAG 1.3.1/4.1.2) | Mittel | `aria-label` ergänzt |
+| 3 | `web/lic-admin/app/page.tsx` | Tenant-ID-Feld ohne zugänglichen Namen | Mittel | `aria-label` ergänzt |
+| 4 | `web/tenant-admin/app/page.tsx` | 2 Eingabe- + 1 Auswahlfeld ohne zugänglichen Namen | Mittel | `aria-label` ergänzt |
+
+Keine kritischen Verstöße offen (Akzeptanzkriterium 1) – alle vier
+gefundenen Verstöße waren Schweregrad Niedrig/Mittel und wurden noch
+innerhalb dieser Kachel behoben, nicht nur terminiert.
+
+## 5. Restbefunde und Fristen (Akzeptanzkriterium 3)
+
+Es bleibt **ein** dokumentierter Restbefund offen, kein WCAG-Verstoß im
+engeren Sinn, sondern eine Prüfmethodik-Lücke:
+
+- **Echter Bildschirmleser-Durchlauf (NVDA/VoiceOver) steht aus** –
+  durchgeführt wurde stattdessen ein struktureller,
+  bildschirmleser-relevanter Code-/Rendering-Audit (Abschnitt 3), da diese
+  Server-Umgebung keine grafische Oberfläche für einen echten
+  AT-Durchlauf bietet. **Frist:** vor der finalen Abnahme-Prüfung (`QA-05`,
+  Welle 7) nachzuholen, sobald ein Arbeitsplatz mit echtem Bildschirmleser
+  verfügbar ist. Schweregrad: Niedrig – die strukturelle Prüfung deckt die
+  wesentlichen WCAG-2.1-AA-Anforderungen (Name/Rolle/Wert, Landmarken,
+  Live-Regionen) bereits automatisiert und quellcodebasiert ab.
+
+## 6. Build/Test-Ergebnis
+
+```
+go build ./... / go vet ./... / go test ./... -p 1 -count=1   -> 41/41 Pakete ok
+7x  next build   -> alle clean, statisch prerendert
+pa11y WCAG2AA (2. Durchlauf, 15 Seiten)  -> 0 Verstöße
+Tab-Traversal (15 Seiten)                -> 100% erreichbar, keine Tastaturfalle
+```
+
+## 7. Gesamtergebnis
+
+**Bestanden**, mit einem terminierten Restbefund (Abschnitt 5, Frist vor
+QA-05). Alle drei Pflichtprüfungen durchgeführt und protokolliert; alle
+kritischen automatisierten Verstöße noch in dieser Kachel behoben statt nur
+terminiert.

go.mod

@@ -1,5 +1,26 @@
 module gitea.perlbach24.de/scripte/nexarch
 
-go 1.22
+go 1.25.0
 
-require github.com/jackc/pgx/v5 v5.6.0
+require (
+	github.com/golang-jwt/jwt/v5 v5.3.1
+	github.com/jackc/pgx/v5 v5.6.0
+	github.com/prometheus/client_golang v1.24.1
+	github.com/prometheus/client_model v0.6.2
+	github.com/prometheus/common v0.70.1
+	golang.org/x/crypto v0.17.0
+)
+
+require (
+	github.com/beorn7/perks v1.0.1 // indirect
+	github.com/cespare/xxhash/v2 v2.3.0 // indirect
+	github.com/jackc/pgpassfile v1.0.0 // indirect
+	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
+	github.com/jackc/puddle/v2 v2.2.1 // indirect
+	github.com/munnerz/goautoneg v0.0.0-20191010083416-a7dc8b61c822 // indirect
+	github.com/prometheus/procfs v0.21.1 // indirect
+	golang.org/x/sync v0.22.0 // indirect
+	golang.org/x/sys v0.47.0 // indirect
+	golang.org/x/text v0.40.0 // indirect
+	google.golang.org/protobuf v1.36.11 // indirect
+)

go.sum

@@ -0,0 +1,54 @@
+github.com/beorn7/perks v1.0.1 h1:VlbKKnNfV8bJzeqoa4cOKqO6bYr3WgKZxO8Z16+hsOM=
+github.com/beorn7/perks v1.0.1/go.mod h1:G2ZrVWU2WbWT9wwq4/hrbKbnv/1ERSJQ0ibhJ6rlkpw=
+github.com/cespare/xxhash/v2 v2.3.0 h1:UL815xU9SqsFlibzuggzjXhog7bL6oX9BbNZnL2UFvs=
+github.com/cespare/xxhash/v2 v2.3.0/go.mod h1:VGX0DQ3Q6kWi7AoAeZDth3/j3BFtOZR5XLFGgcrjCOs=
+github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
+github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
+github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
+github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
+github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
+github.com/google/go-cmp v0.7.0 h1:wk8382ETsv4JYUZwIsn6YpYiWiBsYLSJiTsyBybVuN8=
+github.com/google/go-cmp v0.7.0/go.mod h1:pXiqmnSA92OHEEa9HXL2W4E7lf9JzCmGVUdgjX3N/iU=
+github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
+github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
+github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
+github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a/go.mod h1:5TJZWKEWniPve33vlWYSoGYefn3gLQRzjfDlhSJ9ZKM=
+github.com/jackc/pgx/v5 v5.6.0 h1:SWJzexBzPL5jb0GEsrPMLIsi/3jOo7RHlzTjcAeDrPY=
+github.com/jackc/pgx/v5 v5.6.0/go.mod h1:DNZ/vlrUnhWCoFGxHAG8U2ljioxukquj7utPDgtQdTw=
+github.com/jackc/puddle/v2 v2.2.1 h1:RhxXJtFG022u4ibrCSMSiu5aOq1i77R3OHKNJj77OAk=
+github.com/jackc/puddle/v2 v2.2.1/go.mod h1:vriiEXHvEE654aYKXXjOvZM39qJ0q+azkZFrfEOc3H4=
+github.com/munnerz/goautoneg v0.0.0-20191010083416-a7dc8b61c822 h1:C3w9PqII01/Oq1c1nUAm88MOHcQC9l5mIlSMApZMrHA=
+github.com/munnerz/goautoneg v0.0.0-20191010083416-a7dc8b61c822/go.mod h1:+n7T8mK8HuQTcFwEeznm/DIxMOiR9yIdICNftLE1DvQ=
+github.com/pmezard/go-difflib v1.0.0 h1:4DBwDE0NGyQoBHbLQYPwSUPoCMWR5BEzIk/f1lZbAQM=
+github.com/pmezard/go-difflib v1.0.0/go.mod h1:iKH77koFhYxTK1pcRnkKkqfTogsbg7gZNVY4sRDYZ/4=
+github.com/prometheus/client_golang v1.24.1 h1:JnJkREXzWxUdCuPFpIWZiPispT9xVV59uiuyR2bPlnU=
+github.com/prometheus/client_golang v1.24.1/go.mod h1:F+oSRECHg4sse5ucfYpYDeIv/hu68Zo0uoHKetWnzcE=
+github.com/prometheus/client_model v0.6.2 h1:oBsgwpGs7iVziMvrGhE53c/GrLUsZdHnqNwqPLxwZyk=
+github.com/prometheus/client_model v0.6.2/go.mod h1:y3m2F6Gdpfy6Ut/GBsUqTWZqCUvMVzSfMLjcu6wAwpE=
+github.com/prometheus/common v0.70.1 h1:1HvjP4D5oL3t8RsPlwxA9onvvStjtIHYE5XuuwOi/PY=
+github.com/prometheus/common v0.70.1/go.mod h1:VdFUQDMZK3VLkurFUVhia6uys/0suUp86TJz5qbJRhc=
+github.com/prometheus/procfs v0.21.1 h1:GljZCt+zSTS+NZq88cyQ1LjZ+RCHp3uVuabBWA5+OJI=
+github.com/prometheus/procfs v0.21.1/go.mod h1:aB55Cww9pdSJVHk0hUf0inxWyyjPogFIjmHKYgMKmtY=
+github.com/stretchr/objx v0.1.0/go.mod h1:HFkY916IF+rwdDfMAkV7OtwuqBVzrE8GR6GFx+wExME=
+github.com/stretchr/testify v1.3.0/go.mod h1:M5WIy9Dh21IEIfnGCwXGc5bZfKNJtfHm1UVUgZn+9EI=
+github.com/stretchr/testify v1.7.0/go.mod h1:6Fq8oRcR53rry900zMqJjRRixrwX3KX962/h/Wwjteg=
+github.com/stretchr/testify v1.11.1 h1:7s2iGBzp5EwR7/aIZr8ao5+dra3wiQyKjjFuvgVKu7U=
+github.com/stretchr/testify v1.11.1/go.mod h1:wZwfW3scLgRK+23gO65QZefKpKQRnfz6sD981Nm4B6U=
+go.uber.org/goleak v1.3.0 h1:2K3zAYmnTNqV73imy9J1T3WC+gmCePx2hEGkimedGto=
+go.uber.org/goleak v1.3.0/go.mod h1:CoHD4mav9JJNrW/WLlf7HGZPjdw8EucARQHekz1X6bE=
+go.yaml.in/yaml/v2 v2.4.4 h1:tuyd0P+2Ont/d6e2rl3be67goVK4R6deVxCUX5vyPaQ=
+go.yaml.in/yaml/v2 v2.4.4/go.mod h1:gMZqIpDtDqOfM0uNfy0SkpRhvUryYH0Z6wdMYcacYXQ=
+golang.org/x/crypto v0.17.0 h1:r8bRNjWL3GshPW3gkd+RpvzWrZAwPS49OmTGZ/uhM4k=
+golang.org/x/crypto v0.17.0/go.mod h1:gCAAfMLgwOJRpTjQ2zCCt2OcSfYMTeZVSRtQlPC7Nq4=
+golang.org/x/sync v0.22.0 h1:SZjpbeLmrCk4xhRSZFNZW5gFUeCeFgjekvI/+gfScek=
+golang.org/x/sync v0.22.0/go.mod h1:9xrNwdLfx4jkKbNva9FpL6vEN7evnE43NNNJQ2LF3+0=
+golang.org/x/sys v0.47.0 h1:o7XGOvZQCADBQQ4Y7VNq2dRWQR7JmOUW8Kxx4ZsNgWs=
+golang.org/x/sys v0.47.0/go.mod h1:4GL1E5IUh+htKOUEOaiffhrAeqysfVGipDYzABqnCmw=
+golang.org/x/text v0.40.0 h1:Ub2Z6/xjgF1WrYQz2nuITOEegKFtiIy+rieRJ5lHZKs=
+golang.org/x/text v0.40.0/go.mod h1:hpnzDAfGV753zIKo+wk3u1bVKCGPbrnF7+7LBF/UHVY=
+google.golang.org/protobuf v1.36.11 h1:fV6ZwhNocDyBLK0dj+fg8ektcVegBBuEolpbTQyBNVE=
+google.golang.org/protobuf v1.36.11/go.mod h1:HTf+CrKn2C3g5S8VImy6tdcUvCska2kB7j23XfzDpco=
+gopkg.in/check.v1 v0.0.0-20161208181325-20d25e280405/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
+gopkg.in/yaml.v3 v3.0.0-20200313102051-9f266ea9e77c/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=
+gopkg.in/yaml.v3 v3.0.1 h1:fxVm/GzAzEWqLHuvctI91KS9hhNmmWOoWu0XTYJS7CA=
+gopkg.in/yaml.v3 v3.0.1/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=

internal/adminapi/lichandler.go

@@ -0,0 +1,226 @@
+// Package adminapi implementiert Core LIC-04: das Backend-API fuer die
+// Lizenz-/Modul-Verwaltungsoberflaeche. Das Paket enthaelt KEINE eigene
+// Lizenz-/Flag-/Quota-Logik, sondern ist ein duenner Vermittler ueber
+// internal/license, internal/flag und internal/usage (Ticket-Vorgabe:
+// "Verwaltungsoberflaeche als duenner Client ... ohne eigene Lizenzlogik").
+package adminapi
+
+import (
+	"context"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"net/http"
+	"strings"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/license"
+	"gitea.perlbach24.de/scripte/nexarch/internal/usage"
+)
+
+// UsageMetrics sind die Metriken, die auf der Uebersichtsseite je Tenant
+// dargestellt werden (Akzeptanzkriterium 3). Neue Metriken hinzuzufuegen
+// beruehrt kein bestehendes Verhalten von internal/usage.
+var UsageMetrics = []string{"users", "storage_bytes", "api_calls"}
+
+// FlagOverview ist ein Flag zusammen mit der fuer den Tenant ausgewerteten
+// Berechtigung, es umzuschalten (Akzeptanzkriterium 2).
+type FlagOverview struct {
+	Key       string `json:"key"`
+	Enabled   bool   `json:"enabled"`
+	Licensed  bool   `json:"licensed"`
+	DenyGrund string `json:"deny_grund,omitempty"`
+}
+
+// UsageOverview ist eine Metrik mit Zaehlerstand, Quota und Status
+// (Akzeptanzkriterium 3).
+type UsageOverview struct {
+	Metric string       `json:"metric"`
+	Value  int64        `json:"value"`
+	Limit  int64        `json:"limit"`
+	Status usage.Status `json:"status"`
+}
+
+// Overview ist die vollstaendige Antwort fuer die Uebersichtsseite
+// (Akzeptanzkriterium 1: Lizenzstatus/Laufzeit/Module auf einen Blick).
+type Overview struct {
+	Plan       string          `json:"plan"`
+	Modules    []string        `json:"modules"`
+	IssuedAt   string          `json:"issued_at"`
+	ValidUntil string          `json:"valid_until"`
+	Expired    bool            `json:"expired"`
+	Flags      []FlagOverview  `json:"flags"`
+	Usage      []UsageOverview `json:"usage"`
+}
+
+// ErrFlagNotLicensed wird geliefert, wenn ein Administrator versucht, ein
+// Flag zu aktivieren, dessen zugehoeriges Modul die Lizenz nicht umfasst
+// (Akzeptanzkriterium 2 / Pruefung 1).
+var ErrFlagNotLicensed = errors.New("adminapi: modul ist durch die aktuelle lizenz nicht freigeschaltet")
+
+// Handler buendelt die drei Vorbedingungs-Dienste hinter einem gemeinsamen
+// HTTP-API fuer das Frontend.
+type Handler struct {
+	licenseStore *license.Store
+	flagStore    *flag.Store
+	flagService  *flag.Service
+	usageStore   *usage.Store
+}
+
+func NewHandler(licenseStore *license.Store, flagStore *flag.Store, flagService *flag.Service, usageStore *usage.Store) *Handler {
+	return &Handler{licenseStore: licenseStore, flagStore: flagStore, flagService: flagService, usageStore: usageStore}
+}
+
+// isModuleLicensed prueft, ob ein Flag-Schluessel als lizenziertes Modul
+// gilt. Konvention: ein Flag-Key der Form "module:<name>" ist an das
+// gleichnamige Modul in Payload.Modules gebunden; alle anderen Flag-Keys
+// gelten als lizenzunabhaengige, rein funktionale Schalter.
+func isModuleLicensed(key string, modules []string) (moduleName string, isModuleFlag bool, licensed bool) {
+	const prefix = "module:"
+	if !strings.HasPrefix(key, prefix) {
+		return "", false, true
+	}
+	moduleName = strings.TrimPrefix(key, prefix)
+	for _, m := range modules {
+		if m == moduleName {
+			return moduleName, true, true
+		}
+	}
+	return moduleName, true, false
+}
+
+// Overview liefert die kombinierte Uebersicht fuer einen Tenant
+// (Akzeptanzkriterium 1 + 3).
+func (h *Handler) Overview(ctx context.Context, tenantID string) (Overview, error) {
+	lic, err := h.licenseStore.Status(ctx, tenantID)
+	if err != nil {
+		return Overview{}, fmt.Errorf("lizenzstatus lesen: %w", err)
+	}
+	_, expiredErr := h.licenseStore.RequireActive(ctx, tenantID)
+	expired := errors.Is(expiredErr, license.ErrLicenseExpired)
+
+	flags, err := h.flagStore.List(ctx)
+	if err != nil {
+		return Overview{}, fmt.Errorf("flags lesen: %w", err)
+	}
+
+	tenantSlug := tenantID // Auswertung erwartet den Tenant-Bezug als String; Aufloesung ID->Slug obliegt dem Aufrufer (siehe Handler-Tests).
+	flagOverviews := make([]FlagOverview, 0, len(flags))
+	for _, f := range flags {
+		_, _, licensed := isModuleLicensed(f.Key, lic.Modules)
+		fo := FlagOverview{
+			Key:      f.Key,
+			Enabled:  h.flagService.IsEnabled(ctx, tenantSlug, f.Key),
+			Licensed: licensed,
+		}
+		if !licensed {
+			fo.DenyGrund = "Modul ist im aktuellen Lizenzplan nicht enthalten"
+		}
+		flagOverviews = append(flagOverviews, fo)
+	}
+
+	usageOverviews := make([]UsageOverview, 0, len(UsageMetrics))
+	for _, metric := range UsageMetrics {
+		value, limit, status, err := h.usageStore.Check(ctx, tenantID, metric)
+		if err != nil {
+			return Overview{}, fmt.Errorf("nutzungsstand lesen (%s): %w", metric, err)
+		}
+		usageOverviews = append(usageOverviews, UsageOverview{
+			Metric: metric, Value: value, Limit: limit, Status: status,
+		})
+	}
+
+	return Overview{
+		Plan:       lic.Plan,
+		Modules:    lic.Modules,
+		IssuedAt:   lic.IssuedAt.Format("2006-01-02T15:04:05Z07:00"),
+		ValidUntil: lic.ValidUntil.Format("2006-01-02T15:04:05Z07:00"),
+		Expired:    expired,
+		Flags:      flagOverviews,
+		Usage:      usageOverviews,
+	}, nil
+}
+
+// ToggleFlag schaltet ein Flag global an/aus, NACHDEM geprueft wurde, dass
+// das zugehoerige Modul lizenziert ist (Akzeptanzkriterium 2 / Pruefung 1).
+// Ein nicht lizenziertes Modul wird mit ErrFlagNotLicensed abgelehnt, bevor
+// irgendein Schreibzugriff erfolgt.
+func (h *Handler) ToggleFlag(ctx context.Context, tenantID, key string, enabled bool) error {
+	lic, err := h.licenseStore.Status(ctx, tenantID)
+	if err != nil {
+		return fmt.Errorf("lizenzstatus lesen: %w", err)
+	}
+
+	if enabled {
+		if _, _, licensed := isModuleLicensed(key, lic.Modules); !licensed {
+			return ErrFlagNotLicensed
+		}
+	}
+
+	existing, err := h.flagStore.Get(ctx, key)
+	if err != nil && !errors.Is(err, flag.ErrNotFound) {
+		return fmt.Errorf("flag lesen: %w", err)
+	}
+	existing.Key = key
+	existing.Enabled = enabled
+
+	if err := h.flagStore.Set(ctx, existing); err != nil {
+		return fmt.Errorf("flag speichern: %w", err)
+	}
+	h.flagService.Invalidate(key)
+	return nil
+}
+
+// --- HTTP-Bindung ---
+
+func (h *Handler) OverviewHandler(w http.ResponseWriter, r *http.Request) {
+	tenantID := r.URL.Query().Get("tenant")
+	if tenantID == "" {
+		writeError(w, http.StatusBadRequest, "tenant-parameter fehlt")
+		return
+	}
+	overview, err := h.Overview(r.Context(), tenantID)
+	if err != nil {
+		writeError(w, http.StatusInternalServerError, err.Error())
+		return
+	}
+	writeJSON(w, http.StatusOK, overview)
+}
+
+type toggleRequest struct {
+	Tenant  string `json:"tenant"`
+	Key     string `json:"key"`
+	Enabled bool   `json:"enabled"`
+}
+
+func (h *Handler) ToggleFlagHandler(w http.ResponseWriter, r *http.Request) {
+	var req toggleRequest
+	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+		writeError(w, http.StatusBadRequest, "ungueltiger anfrage-koerper")
+		return
+	}
+	if req.Tenant == "" || req.Key == "" {
+		writeError(w, http.StatusBadRequest, "tenant und key sind erforderlich")
+		return
+	}
+
+	err := h.ToggleFlag(r.Context(), req.Tenant, req.Key, req.Enabled)
+	switch {
+	case err == nil:
+		writeJSON(w, http.StatusOK, map[string]string{"status": "ok"})
+	case errors.Is(err, ErrFlagNotLicensed):
+		writeError(w, http.StatusForbidden, ErrFlagNotLicensed.Error())
+	default:
+		writeError(w, http.StatusInternalServerError, err.Error())
+	}
+}
+
+func writeJSON(w http.ResponseWriter, status int, body any) {
+	w.Header().Set("Content-Type", "application/json")
+	w.WriteHeader(status)
+	_ = json.NewEncoder(w).Encode(body)
+}
+
+func writeError(w http.ResponseWriter, status int, message string) {
+	writeJSON(w, status, map[string]string{"error": message})
+}

internal/adminapi/lichandler_test.go

@@ -0,0 +1,275 @@
+package adminapi
+
+import (
+	"bytes"
+	"context"
+	"crypto/ed25519"
+	"encoding/json"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/license"
+	"gitea.perlbach24.de/scripte/nexarch/internal/usage"
+)
+
+type testEnv struct {
+	handler  *Handler
+	tenantID string
+	pool     *pgxpool.Pool
+}
+
+func setupTest(t *testing.T) (testEnv, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			slug TEXT NOT NULL UNIQUE,
+			name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE,
+			db_dsn TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS tenant_licenses (
+			tenant_id UUID PRIMARY KEY REFERENCES tenants(id),
+			plan TEXT NOT NULL,
+			modules TEXT[] NOT NULL,
+			issued_at TIMESTAMPTZ NOT NULL,
+			valid_until TIMESTAMPTZ NOT NULL,
+			raw_key TEXT NOT NULL,
+			installed_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS feature_flags (
+			key TEXT PRIMARY KEY,
+			enabled BOOLEAN NOT NULL DEFAULT false,
+			rollout_percentage INT NOT NULL DEFAULT 0,
+			target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS usage_counters (
+			tenant_id UUID NOT NULL, metric TEXT NOT NULL, value BIGINT NOT NULL DEFAULT 0,
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now(), PRIMARY KEY (tenant_id, metric)
+		);
+		CREATE TABLE IF NOT EXISTS usage_quotas (
+			tenant_id UUID NOT NULL, metric TEXT NOT NULL, limit_value BIGINT NOT NULL,
+			PRIMARY KEY (tenant_id, metric)
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	slug := fmt.Sprintf("adminapi_test_%d", time.Now().UnixNano())
+	var tenantID string
+	if err := pool.QueryRow(ctx, `
+		INSERT INTO tenants (slug, name, db_name, db_dsn)
+		VALUES ($1, 'Adminapi Test', $1, 'unused') RETURNING id
+	`, slug).Scan(&tenantID); err != nil {
+		t.Fatalf("test-tenant anlegen: %v", err)
+	}
+
+	pub, priv, err := ed25519.GenerateKey(nil)
+	if err != nil {
+		t.Fatalf("schluesselpaar: %v", err)
+	}
+	issuer := license.NewIssuer(priv)
+	licenseStore := license.NewStore(pool, license.NewValidator(pub))
+
+	payload := license.Payload{
+		TenantSlug: slug,
+		Plan:       "professional",
+		Modules:    []string{"dms", "mail"},
+		IssuedAt:   time.Now().Truncate(time.Second),
+		ValidUntil: time.Now().Add(30 * 24 * time.Hour).Truncate(time.Second),
+	}
+	key, err := issuer.Issue(payload)
+	if err != nil {
+		t.Fatalf("lizenz ausstellen: %v", err)
+	}
+	if _, err := licenseStore.Install(ctx, tenantID, key); err != nil {
+		t.Fatalf("lizenz installieren: %v", err)
+	}
+
+	flagStore := flag.NewStore(pool)
+	flagService := flag.NewService(flagStore, time.Millisecond) // sehr kurze TTL, damit Tests nicht auf Cache-Ablauf warten muessen
+	usageStore := usage.NewStore(pool)
+
+	handler := NewHandler(licenseStore, flagStore, flagService, usageStore)
+
+	cleanup := func() {
+		_, _ = pool.Exec(ctx, `DELETE FROM usage_quotas WHERE tenant_id = $1`, tenantID)
+		_, _ = pool.Exec(ctx, `DELETE FROM usage_counters WHERE tenant_id = $1`, tenantID)
+		_, _ = pool.Exec(ctx, `DELETE FROM tenant_licenses WHERE tenant_id = $1`, tenantID)
+		_, _ = pool.Exec(ctx, `DELETE FROM tenants WHERE id = $1`, tenantID)
+		_, _ = pool.Exec(ctx, `DELETE FROM feature_flags WHERE key LIKE 'adminapi\_test\_%' ESCAPE '\'`)
+		pool.Close()
+	}
+	return testEnv{handler: handler, tenantID: tenantID, pool: pool}, cleanup
+}
+
+// Akzeptanzkriterium 1: Lizenzstatus, Laufzeit und Module sind auf einen
+// Blick abfragbar.
+func TestOverview_ShowsLicenseStatusAndModules(t *testing.T) {
+	env, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	overview, err := env.handler.Overview(ctx, env.tenantID)
+	if err != nil {
+		t.Fatalf("overview: %v", err)
+	}
+	if overview.Plan != "professional" {
+		t.Fatalf("plan = %q, want professional", overview.Plan)
+	}
+	if len(overview.Modules) != 2 {
+		t.Fatalf("module = %v, want 2 eintraege", overview.Modules)
+	}
+	if overview.Expired {
+		t.Fatal("lizenz sollte nicht abgelaufen sein")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: Umschalten eines nicht lizenzierten
+// Features wird verhindert und verstaendlich begruendet.
+func TestToggleFlag_RejectsUnlicensedModule(t *testing.T) {
+	env, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	err := env.handler.ToggleFlag(ctx, env.tenantID, "module:archive", true)
+	if err == nil {
+		t.Fatal("erwartet fehler beim aktivieren eines nicht lizenzierten moduls")
+	}
+	if err.Error() == "" {
+		t.Fatal("fehlermeldung sollte verstaendlich sein, nicht leer")
+	}
+	t.Logf("erhaltene begruendung: %v", err)
+
+	// Sicherstellen, dass NICHTS geschrieben wurde: Flag existiert weiterhin nicht.
+	if _, ferr := flag.NewStore(env.pool).Get(ctx, "module:archive"); ferr == nil {
+		t.Fatal("flag haette wegen fehlender lizenz nicht angelegt werden duerfen")
+	}
+}
+
+// Akzeptanzkriterium 2: lizenziertes Modul laesst sich umschalten.
+func TestToggleFlag_AllowsLicensedModule(t *testing.T) {
+	env, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := env.handler.ToggleFlag(ctx, env.tenantID, "module:dms", true); err != nil {
+		t.Fatalf("erwartet erfolg fuer lizenziertes modul, habe: %v", err)
+	}
+
+	overview, err := env.handler.Overview(ctx, env.tenantID)
+	if err != nil {
+		t.Fatalf("overview: %v", err)
+	}
+	found := false
+	for _, f := range overview.Flags {
+		if f.Key == "module:dms" {
+			found = true
+			if !f.Enabled || !f.Licensed {
+				t.Fatalf("flag-status unerwartet: %+v", f)
+			}
+		}
+	}
+	if !found {
+		t.Fatal("erwartet 'module:dms' in der uebersicht nach dem umschalten")
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: Nutzungsstand stimmt mit den
+// Backend-Zaehlern ueberein.
+func TestOverview_UsageMatchesBackendCounters(t *testing.T) {
+	env, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	usageStore := usage.NewStore(env.pool)
+	if err := usageStore.Increment(ctx, env.tenantID, "users", 7); err != nil {
+		t.Fatalf("increment: %v", err)
+	}
+	if err := usageStore.SetQuota(ctx, env.tenantID, "users", 10); err != nil {
+		t.Fatalf("setquota: %v", err)
+	}
+
+	overview, err := env.handler.Overview(ctx, env.tenantID)
+	if err != nil {
+		t.Fatalf("overview: %v", err)
+	}
+
+	var got *UsageOverview
+	for i := range overview.Usage {
+		if overview.Usage[i].Metric == "users" {
+			got = &overview.Usage[i]
+		}
+	}
+	if got == nil {
+		t.Fatal("erwartet metrik 'users' in der uebersicht")
+	}
+	if got.Value != 7 || got.Limit != 10 || got.Status != usage.StatusOK {
+		t.Fatalf("nutzungsstand stimmt nicht mit backend-zaehler ueberein: %+v (want value=7 limit=10 status=ok, da 7/10=70%% unter der 80%%-warnschwelle liegt)", got)
+	}
+}
+
+// Akzeptanzkriterium 2 / Pruefung 1 auf HTTP-Ebene: der Endpunkt liefert
+// 403 mit verstaendlicher Fehlermeldung, kein interner Serverfehler.
+func TestToggleFlagHandler_HTTPForbiddenOnUnlicensed(t *testing.T) {
+	env, cleanup := setupTest(t)
+	defer cleanup()
+
+	body, _ := json.Marshal(toggleRequest{Tenant: env.tenantID, Key: "module:archive", Enabled: true})
+	req := httptest.NewRequest(http.MethodPost, "/admin/flags/toggle", bytes.NewReader(body))
+	rec := httptest.NewRecorder()
+
+	env.handler.ToggleFlagHandler(rec, req)
+
+	if rec.Code != http.StatusForbidden {
+		t.Fatalf("status = %d, want 403", rec.Code)
+	}
+	var resp map[string]string
+	if err := json.Unmarshal(rec.Body.Bytes(), &resp); err != nil {
+		t.Fatalf("body parsen: %v", err)
+	}
+	if resp["error"] == "" {
+		t.Fatal("erwartet verstaendliche fehlermeldung im response-body")
+	}
+}
+
+func TestOverviewHandler_HTTPReturnsCombinedData(t *testing.T) {
+	env, cleanup := setupTest(t)
+	defer cleanup()
+
+	req := httptest.NewRequest(http.MethodGet, "/admin/overview?tenant="+env.tenantID, nil)
+	rec := httptest.NewRecorder()
+	env.handler.OverviewHandler(rec, req)
+
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rec.Code)
+	}
+	var overview Overview
+	if err := json.Unmarshal(rec.Body.Bytes(), &overview); err != nil {
+		t.Fatalf("body parsen: %v", err)
+	}
+	if overview.Plan != "professional" {
+		t.Fatalf("plan = %q, want professional", overview.Plan)
+	}
+}

internal/alerting/evaluator.go

@@ -0,0 +1,194 @@
+package alerting
+
+import (
+	"context"
+	"fmt"
+	"sort"
+	"strings"
+	"time"
+
+	dto "github.com/prometheus/client_model/go"
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
+)
+
+// DefaultDebounceInterval: wiederholte Alarmierung für denselben
+// anhaltenden Zustand ist gedrosselt (Akzeptanzkriterium 3) — 15 Minuten
+// ist ein üblicher Kompromiss zwischen "schnell genug informiert" und
+// "kein Alarm-Spam bei dauerhaft überschrittenem Wert".
+const DefaultDebounceInterval = 15 * time.Minute
+
+// AlertChannel ist der CFG-02-Kanal, über den Schwellwert-Alarme zugestellt
+// werden — ein eigener Kanalname, damit Zustellregeln/-vorlagen (CFG-03)
+// unabhängig von anderen Benachrichtigungsarten konfiguriert werden können.
+const AlertChannel = "alert"
+
+// Evaluator prüft konfigurierte Regeln gegen aktuell gesammelte Metriken
+// (aus internal/metrics.Aggregator.Gather) und löst bei Überschreitung eine
+// Benachrichtigung über CFG-02 aus (Akzeptanzkriterium 2), gedrosselt je
+// Regel+Zeitreihe (Akzeptanzkriterium 3).
+type Evaluator struct {
+	rules      *RuleStore
+	debounce   *debounceStore
+	dispatcher *notify.Dispatcher
+	interval   time.Duration
+}
+
+func NewEvaluator(rules *RuleStore, dispatcher *notify.Dispatcher, debouncePool *pgxpool.Pool, interval time.Duration) *Evaluator {
+	if interval <= 0 {
+		interval = DefaultDebounceInterval
+	}
+	return &Evaluator{
+		rules:      rules,
+		debounce:   &debounceStore{pool: debouncePool},
+		dispatcher: dispatcher,
+		interval:   interval,
+	}
+}
+
+// FiredAlert beschreibt einen tatsächlich ausgelösten (nicht gedrosselten)
+// Alarm — fürs Testen/Logging, nicht Teil des öffentlichen Zustellwegs.
+type FiredAlert struct {
+	RuleID     string
+	MetricName string
+	Value      float64
+	Threshold  float64
+	Labels     map[string]string
+	Skipped    bool // true, wenn wegen Drosselung NICHT tatsaechlich zugestellt
+}
+
+// Evaluate prüft alle konfigurierten Regeln gegen families (Akzeptanzkriterium 1).
+// Für jede Zeitreihe, die eine Regel verletzt, wird — sofern nicht gedrosselt
+// — eine Benachrichtigung mit Metrik/Wert/Schwellwert/Labels (Tenant/Modul,
+// falls als Label vorhanden) über CFG-02 eingereiht (Akzeptanzkriterium 2).
+func (e *Evaluator) Evaluate(ctx context.Context, families []*dto.MetricFamily) ([]FiredAlert, error) {
+	rules, err := e.rules.ListRules(ctx)
+	if err != nil {
+		return nil, fmt.Errorf("regeln laden: %w", err)
+	}
+	if len(rules) == 0 {
+		return nil, nil
+	}
+
+	byName := make(map[string]*dto.MetricFamily, len(families))
+	for _, f := range families {
+		if f.Name != nil {
+			byName[*f.Name] = f
+		}
+	}
+
+	var fired []FiredAlert
+	for _, rule := range rules {
+		family, ok := byName[rule.MetricName]
+		if !ok {
+			continue // Metrik (noch) nicht vorhanden -> keine Aussage moeglich, kein Fehler.
+		}
+
+		for _, m := range family.Metric {
+			labels := labelMap(m)
+			if !matchesFilter(labels, rule.LabelFilters) {
+				continue
+			}
+			value, ok := metricValue(m)
+			if !ok {
+				continue
+			}
+			if !violates(rule, value) {
+				continue
+			}
+
+			ruleKey := ruleKeyFor(rule.ID, labels)
+			allowed, err := e.debounce.shouldFire(ctx, ruleKey, e.interval.Seconds())
+			if err != nil {
+				return fired, fmt.Errorf("drosselung pruefen: %w", err)
+			}
+
+			alert := FiredAlert{
+				RuleID: rule.ID, MetricName: rule.MetricName, Value: value,
+				Threshold: rule.Threshold, Labels: labels, Skipped: !allowed,
+			}
+			fired = append(fired, alert)
+
+			if !allowed {
+				continue
+			}
+
+			payload := map[string]any{
+				"metric":      rule.MetricName,
+				"value":       value,
+				"threshold":   rule.Threshold,
+				"comparison":  string(rule.Comparison),
+				"description": rule.Description,
+				"labels":      labels,
+			}
+			if _, err := e.dispatcher.Enqueue(ctx, AlertChannel, rule.Recipient, payload); err != nil {
+				return fired, fmt.Errorf("alarm einreihen: %w", err)
+			}
+		}
+	}
+	return fired, nil
+}
+
+func violates(rule Rule, value float64) bool {
+	switch rule.Comparison {
+	case ComparisonGreaterThan:
+		return value > rule.Threshold
+	case ComparisonLessThan:
+		return value < rule.Threshold
+	default:
+		return false
+	}
+}
+
+func labelMap(m *dto.Metric) map[string]string {
+	out := make(map[string]string, len(m.Label))
+	for _, l := range m.Label {
+		if l.Name != nil && l.Value != nil {
+			out[*l.Name] = *l.Value
+		}
+	}
+	return out
+}
+
+func matchesFilter(labels, filter map[string]string) bool {
+	for k, v := range filter {
+		if labels[k] != v {
+			return false
+		}
+	}
+	return true
+}
+
+func metricValue(m *dto.Metric) (float64, bool) {
+	switch {
+	case m.Gauge != nil && m.Gauge.Value != nil:
+		return *m.Gauge.Value, true
+	case m.Counter != nil && m.Counter.Value != nil:
+		return *m.Counter.Value, true
+	case m.Untyped != nil && m.Untyped.Value != nil:
+		return *m.Untyped.Value, true
+	default:
+		return 0, false
+	}
+}
+
+// ruleKeyFor macht die Drosselung unabhaengig je Regel UND je konkreter
+// Zeitreihe (z. B. verschiedene Tenants/Module derselben Metrik loesen
+// unabhaengig voneinander aus, siehe Migrationskommentar).
+func ruleKeyFor(ruleID string, labels map[string]string) string {
+	keys := make([]string, 0, len(labels))
+	for k := range labels {
+		keys = append(keys, k)
+	}
+	sort.Strings(keys)
+	var b strings.Builder
+	b.WriteString(ruleID)
+	for _, k := range keys {
+		b.WriteString("|")
+		b.WriteString(k)
+		b.WriteString("=")
+		b.WriteString(labels[k])
+	}
+	return b.String()
+}

internal/alerting/evaluator_test.go

@@ -0,0 +1,233 @@
+package alerting
+
+import (
+	"context"
+	"os"
+	"strings"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+	dto "github.com/prometheus/client_model/go"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
+)
+
+func setupTest(t *testing.T) (*RuleStore, *notify.Dispatcher, *pgxpool.Pool, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS alert_rules (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), metric_name TEXT NOT NULL,
+			comparison TEXT NOT NULL CHECK (comparison IN ('gt','lt')), threshold DOUBLE PRECISION NOT NULL,
+			label_filters JSONB NOT NULL DEFAULT '{}'::jsonb, recipient TEXT NOT NULL,
+			description TEXT NOT NULL DEFAULT '', created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS alert_debounce_state (
+			rule_key TEXT PRIMARY KEY, last_fired_at TIMESTAMPTZ NOT NULL
+		);
+		CREATE TABLE IF NOT EXISTS notification_jobs (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), channel TEXT NOT NULL, recipient TEXT NOT NULL,
+			payload JSONB NOT NULL DEFAULT '{}'::jsonb, status TEXT NOT NULL DEFAULT 'pending', attempts INT NOT NULL DEFAULT 0,
+			max_attempts INT NOT NULL DEFAULT 5, next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(), last_error TEXT,
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() {
+		_, _ = pool.Exec(ctx, `DELETE FROM alert_rules`)
+		_, _ = pool.Exec(ctx, `DELETE FROM alert_debounce_state`)
+		_, _ = pool.Exec(ctx, `DELETE FROM notification_jobs`)
+		pool.Close()
+	}
+	return NewRuleStore(pool), notify.NewDispatcher(pool), pool, cleanup
+}
+
+func gaugeFamily(name string, labels map[string]string, value float64) *dto.MetricFamily {
+	pairs := make([]*dto.LabelPair, 0, len(labels))
+	for k, v := range labels {
+		k, v := k, v
+		pairs = append(pairs, &dto.LabelPair{Name: &k, Value: &v})
+	}
+	n := name
+	return &dto.MetricFamily{
+		Name: &n,
+		Metric: []*dto.Metric{
+			{Label: pairs, Gauge: &dto.Gauge{Value: &value}},
+		},
+	}
+}
+
+// Akzeptanzkriterium 1 + 2 / Pruefung 1 + 2: Überschreitung löst eine
+// Benachrichtigung mit vollständigem Inhalt (Metrik/Tenant/Modul) aus.
+func TestEvaluate_FiresAlertOnThresholdExceeded(t *testing.T) {
+	rules, dispatcher, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	rule, err := rules.CreateRule(ctx, Rule{
+		MetricName: "nexarch_core_error_rate", Comparison: ComparisonGreaterThan, Threshold: 0.05,
+		Recipient: "ops@acme.example", Description: "Fehlerrate zu hoch",
+	})
+	if err != nil {
+		t.Fatalf("create rule: %v", err)
+	}
+
+	eval := NewEvaluator(rules, dispatcher, pool, time.Hour)
+	families := []*dto.MetricFamily{
+		gaugeFamily("nexarch_core_error_rate", map[string]string{"tenant": "acme", "module": "dms"}, 0.12),
+	}
+
+	fired, err := eval.Evaluate(ctx, families)
+	if err != nil {
+		t.Fatalf("evaluate: %v", err)
+	}
+	if len(fired) != 1 || fired[0].Skipped {
+		t.Fatalf("erwartet genau 1 tatsaechlich ausgeloesten alarm, habe %+v", fired)
+	}
+	if fired[0].RuleID != rule.ID {
+		t.Fatalf("rule id = %q, want %q", fired[0].RuleID, rule.ID)
+	}
+
+	// Pruefung 2: Benachrichtigungsinhalt vollstaendig (Metrik/Tenant/Modul).
+	var payloadJSON []byte
+	if err := pool.QueryRow(ctx, `SELECT payload FROM notification_jobs LIMIT 1`).Scan(&payloadJSON); err != nil {
+		t.Fatalf("notification_jobs lesen: %v", err)
+	}
+	payload := string(payloadJSON)
+	for _, want := range []string{`"metric"`, `nexarch_core_error_rate`, `"tenant"`, `"acme"`, `"module"`, `"dms"`} {
+		if !strings.Contains(payload, want) {
+			t.Errorf("payload enthaelt nicht %q: %s", want, payload)
+		}
+	}
+}
+
+func TestEvaluate_DoesNotFireBelowThreshold(t *testing.T) {
+	rules, dispatcher, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := rules.CreateRule(ctx, Rule{
+		MetricName: "nexarch_core_error_rate", Comparison: ComparisonGreaterThan, Threshold: 0.05,
+		Recipient: "ops@acme.example",
+	}); err != nil {
+		t.Fatalf("create rule: %v", err)
+	}
+
+	eval := NewEvaluator(rules, dispatcher, pool, time.Hour)
+	families := []*dto.MetricFamily{
+		gaugeFamily("nexarch_core_error_rate", map[string]string{"tenant": "acme"}, 0.01),
+	}
+
+	fired, err := eval.Evaluate(ctx, families)
+	if err != nil {
+		t.Fatalf("evaluate: %v", err)
+	}
+	if len(fired) != 0 {
+		t.Fatalf("erwartet keinen alarm unterhalb des schwellwerts, habe %+v", fired)
+	}
+}
+
+// Akzeptanzkriterium 3 / Pruefung 3: anhaltende Überschreitung erzeugt NICHT
+// bei jeder Messung eine neue Benachrichtigung.
+func TestEvaluate_DebouncesRepeatedFiring(t *testing.T) {
+	rules, dispatcher, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := rules.CreateRule(ctx, Rule{
+		MetricName: "nexarch_core_error_rate", Comparison: ComparisonGreaterThan, Threshold: 0.05,
+		Recipient: "ops@acme.example",
+	}); err != nil {
+		t.Fatalf("create rule: %v", err)
+	}
+
+	// Langes Debounce-Intervall: der zweite Evaluate-Lauf (simuliert die
+	// naechste Messung bei anhaltend ueberschrittenem Wert) darf keinen
+	// weiteren Job einreihen.
+	eval := NewEvaluator(rules, dispatcher, pool, time.Hour)
+	families := []*dto.MetricFamily{
+		gaugeFamily("nexarch_core_error_rate", map[string]string{"tenant": "acme"}, 0.5),
+	}
+
+	first, err := eval.Evaluate(ctx, families)
+	if err != nil {
+		t.Fatalf("erster evaluate-lauf: %v", err)
+	}
+	if len(first) != 1 || first[0].Skipped {
+		t.Fatalf("erster lauf haette feuern muessen, habe %+v", first)
+	}
+
+	second, err := eval.Evaluate(ctx, families)
+	if err != nil {
+		t.Fatalf("zweiter evaluate-lauf: %v", err)
+	}
+	if len(second) != 1 || !second[0].Skipped {
+		t.Fatalf("zweiter lauf haette gedrosselt werden muessen, habe %+v", second)
+	}
+
+	var count int
+	if err := pool.QueryRow(ctx, `SELECT count(*) FROM notification_jobs`).Scan(&count); err != nil {
+		t.Fatalf("notification_jobs zaehlen: %v", err)
+	}
+	if count != 1 {
+		t.Fatalf("erwartet genau 1 eingereihten job trotz zwei ueberschreitenden messungen, habe %d", count)
+	}
+}
+
+// Verschiedene Zeitreihen derselben Regel (unterschiedlicher Tenant) werden
+// unabhaengig voneinander gedrosselt.
+func TestEvaluate_DebouncesIndependentlyPerLabelSet(t *testing.T) {
+	rules, dispatcher, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := rules.CreateRule(ctx, Rule{
+		MetricName: "nexarch_core_error_rate", Comparison: ComparisonGreaterThan, Threshold: 0.05,
+		Recipient: "ops@acme.example",
+	}); err != nil {
+		t.Fatalf("create rule: %v", err)
+	}
+
+	eval := NewEvaluator(rules, dispatcher, pool, time.Hour)
+	families := []*dto.MetricFamily{
+		{
+			Name: strPtr("nexarch_core_error_rate"),
+			Metric: []*dto.Metric{
+				metricWithLabel("tenant", "acme", 0.5),
+				metricWithLabel("tenant", "beta", 0.6),
+			},
+		},
+	}
+
+	fired, err := eval.Evaluate(ctx, families)
+	if err != nil {
+		t.Fatalf("evaluate: %v", err)
+	}
+	if len(fired) != 2 {
+		t.Fatalf("erwartet 2 unabhaengige alarme (verschiedene tenants), habe %d", len(fired))
+	}
+	for _, a := range fired {
+		if a.Skipped {
+			t.Fatalf("beide tenants sollten beim ersten mal feuern, habe %+v", a)
+		}
+	}
+}
+
+func metricWithLabel(name, value string, gaugeValue float64) *dto.Metric {
+	n, v := name, value
+	return &dto.Metric{Label: []*dto.LabelPair{{Name: &n, Value: &v}}, Gauge: &dto.Gauge{Value: &gaugeValue}}
+}
+
+func strPtr(s string) *string { return &s }