API-06: go.sum/go.mod aktualisieren (golang-jwt/jwt/v5 fuer moduletrust)

API-06: wiederanlauf-nachsynchronisierung-nach-core-ausfall (postgres-puffer, service-credential, sofort-invalidate)
API-02: modul-registry-aktivierungspruefung
2026-08-28 09:22:56 +02:00 · 2026-08-28 09:22:08 +02:00 · 2026-08-27 21:17:50 +02:00 · 2026-08-27 19:19:59 +02:00
46 changed files with 2417 additions and 1468 deletions
@@ -2,7 +2,10 @@ module gitea.perlbach24.de/scripte/nexarch

 go 1.22

-require github.com/jackc/pgx/v5 v5.6.0
+require (
+	github.com/golang-jwt/jwt/v5 v5.3.1
+	github.com/jackc/pgx/v5 v5.6.0
+)

 require (
 	github.com/jackc/pgpassfile v1.0.0 // indirect
@@ -1,6 +1,8 @@
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
+github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
+github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
 github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
 github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
 github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
@@ -1,88 +0,0 @@
-package cfgservice
-
-import (
-	"context"
-	"errors"
-	"sync"
-	"time"
-)
-
-// DefaultCacheTTL ist die dokumentierte Cache-Invalidierungszeit
-// (Akzeptanzkriterium 2 / Pruefung 2 in diesem Ticket bezieht sich auf die
-// Aenderungsnachvollziehbarkeit — die Cache-Frist selbst folgt demselben
-// Muster wie internal/flag.DefaultCacheTTL).
-const DefaultCacheTTL = 5 * time.Second
-
-type cacheEntry struct {
-	value     Value
-	expiresAt time.Time
-}
-
-// Service ist die Leseseite mit Vorrangregel (Akzeptanzkriterium 1:
-// Tenant-Override vor Global-Default) und lokalem TTL-Cache.
-type Service struct {
-	store *Store
-	ttl   time.Duration
-
-	mu    sync.RWMutex
-	cache map[string]cacheEntry // Schluessel: key + "\x00" + tenantSlug
-}
-
-func NewService(store *Store, ttl time.Duration) *Service {
-	if ttl <= 0 {
-		ttl = DefaultCacheTTL
-	}
-	return &Service{store: store, ttl: ttl, cache: make(map[string]cacheEntry)}
-}
-
-func cacheKey(key, tenantSlug string) string {
-	return key + "\x00" + tenantSlug
-}
-
-// Resolve liefert den Konfigurationswert fuer einen Tenant: ein
-// Tenant-spezifischer Override hat Vorrang vor dem globalen Default
-// (Akzeptanzkriterium 1 / Pruefung 1). tenantSlug == "" wertet nur den
-// globalen Wert aus.
-func (s *Service) Resolve(ctx context.Context, tenantSlug, key string) (Value, error) {
-	ck := cacheKey(key, tenantSlug)
-
-	s.mu.RLock()
-	entry, exists := s.cache[ck]
-	fresh := exists && time.Now().Before(entry.expiresAt)
-	s.mu.RUnlock()
-	if fresh {
-		return entry.value, nil
-	}
-
-	v, err := s.resolveUncached(ctx, tenantSlug, key)
-	if err != nil {
-		return Value{}, err
-	}
-
-	s.mu.Lock()
-	s.cache[ck] = cacheEntry{value: v, expiresAt: time.Now().Add(s.ttl)}
-	s.mu.Unlock()
-	return v, nil
-}
-
-func (s *Service) resolveUncached(ctx context.Context, tenantSlug, key string) (Value, error) {
-	if tenantSlug != "" {
-		v, err := s.store.Get(ctx, key, tenantSlug)
-		if err == nil {
-			return v, nil
-		}
-		if !errors.Is(err, ErrNotFound) {
-			return Value{}, err
-		}
-	}
-	return s.store.Get(ctx, key, GlobalScope)
-}
-
-// Invalidate erzwingt beim naechsten Resolve-Aufruf ein sofortiges Neuladen
-// fuer einen bestimmten (key, tenantSlug) statt auf den TTL-Ablauf zu warten
-// — analog internal/flag.Service.Invalidate.
-func (s *Service) Invalidate(key, tenantSlug string) {
-	s.mu.Lock()
-	delete(s.cache, cacheKey(key, tenantSlug))
-	s.mu.Unlock()
-}
@@ -1,114 +0,0 @@
-package cfgservice
-
-import (
-	"context"
-	"testing"
-	"time"
-)
-
-// Akzeptanzkriterium 1 + Pruefung 1: Tenant-Override hat Vorrang vor
-// Global-Default, automatisiert getestet.
-func TestService_TenantOverrideTakesPrecedenceOverGlobal(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Set(ctx, "test_precedence_key", GlobalScope, "global-wert"); err != nil {
-		t.Fatalf("set global: %v", err)
-	}
-	if _, err := store.Set(ctx, "test_precedence_key", "test_acme", "tenant-wert"); err != nil {
-		t.Fatalf("set tenant: %v", err)
-	}
-
-	svc := NewService(store, time.Hour)
-
-	got, err := svc.Resolve(ctx, "test_acme", "test_precedence_key")
-	if err != nil {
-		t.Fatalf("resolve mit override: %v", err)
-	}
-	if got.Value != "tenant-wert" {
-		t.Fatalf("erwartet tenant-override, habe %q", got.Value)
-	}
-
-	gotOther, err := svc.Resolve(ctx, "test_anderer_tenant", "test_precedence_key")
-	if err != nil {
-		t.Fatalf("resolve ohne override: %v", err)
-	}
-	if gotOther.Value != "global-wert" {
-		t.Fatalf("erwartet global-default fuer tenant ohne override, habe %q", gotOther.Value)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Cache-Invalidierung nach
-// Konfigurationsaenderung innerhalb dokumentierter Zeit gemessen.
-func TestService_CacheInvalidationTiming(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	const ttl = 150 * time.Millisecond
-	if _, err := store.Set(ctx, "test_ttl_key", GlobalScope, "alt"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	svc := NewService(store, ttl)
-
-	v, err := svc.Resolve(ctx, "", "test_ttl_key")
-	if err != nil {
-		t.Fatalf("resolve: %v", err)
-	}
-	if v.Value != "alt" {
-		t.Fatalf("erwartet 'alt', habe %q", v.Value)
-	}
-
-	changedAt := time.Now()
-	if _, err := store.Set(ctx, "test_ttl_key", GlobalScope, "neu"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-
-	v, err = svc.Resolve(ctx, "", "test_ttl_key")
-	if err != nil {
-		t.Fatalf("resolve direkt nach aenderung: %v", err)
-	}
-	if v.Value != "alt" {
-		t.Fatalf("cache haette den alten wert liefern sollen, habe %q", v.Value)
-	}
-
-	deadline := changedAt.Add(ttl + 100*time.Millisecond)
-	for time.Now().Before(deadline) {
-		v, err := svc.Resolve(ctx, "", "test_ttl_key")
-		if err != nil {
-			t.Fatalf("resolve: %v", err)
-		}
-		if v.Value == "neu" {
-			t.Logf("aenderung wurde nach %s wirksam (ziel: innerhalb %s + toleranz)", time.Since(changedAt), ttl)
-			return
-		}
-		time.Sleep(10 * time.Millisecond)
-	}
-	t.Fatalf("aenderung wurde nicht innerhalb von %s wirksam", deadline.Sub(changedAt))
-}
-
-func TestService_InvalidateForcesImmediateRefresh(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Set(ctx, "test_invalidate_key", GlobalScope, "alt"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	svc := NewService(store, time.Hour)
-	_, _ = svc.Resolve(ctx, "", "test_invalidate_key")
-
-	if _, err := store.Set(ctx, "test_invalidate_key", GlobalScope, "neu"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	svc.Invalidate("test_invalidate_key", "")
-
-	v, err := svc.Resolve(ctx, "", "test_invalidate_key")
-	if err != nil {
-		t.Fatalf("resolve: %v", err)
-	}
-	if v.Value != "neu" {
-		t.Fatalf("erwartet sofort sichtbaren neuen wert nach Invalidate, habe %q", v.Value)
-	}
-}
@@ -1,129 +0,0 @@
-// Package cfgservice implementiert Core CFG-01: den zentralen Dienst fuer
-// globale und tenant-spezifische Konfigurationswerte mit Versionierung und
-// Cache-Invalidierung. Andere Module lesen Konfiguration AUSSCHLIESSLICH
-// ueber dieses Paket (Akzeptanzkriterium 3), niemals ueber eigene Tabellen.
-package cfgservice
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// GlobalScope ist der reservierte Scope-Wert fuer globale Defaults — jeder
-// andere Scope-Wert ist ein Tenant-Slug (Akzeptanzkriterium 1).
-const GlobalScope = "global"
-
-var ErrNotFound = errors.New("cfgservice: kein wert fuer diesen key gefunden")
-
-type Value struct {
-	Key     string
-	Scope   string
-	Value   string
-	Version int
-}
-
-type HistoryEntry struct {
-	Key     string
-	Scope   string
-	Value   string
-	Version int
-}
-
-// Store ist die Schreib-/Verwaltungsseite. Set schreibt IMMER sowohl den
-// aktuellen Stand (config_values) als auch einen Historieneintrag
-// (config_value_history) in derselben Transaktion — eine Aenderung ohne
-// Versionshistorie ist strukturell ausgeschlossen (Akzeptanzkriterium 2).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// Set schreibt einen neuen Wert fuer (key, scope) und erhoeht die Version um 1
-// (Version 1 bei erstmaligem Setzen).
-func (s *Store) Set(ctx context.Context, key, scope, value string) (Value, error) {
-	if scope == "" {
-		return Value{}, errors.New("cfgservice: scope darf nicht leer sein")
-	}
-
-	tx, err := s.pool.Begin(ctx)
-	if err != nil {
-		return Value{}, fmt.Errorf("transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	var currentVersion int
-	err = tx.QueryRow(ctx, `SELECT version FROM config_values WHERE key = $1 AND scope = $2`, key, scope).Scan(&currentVersion)
-	if err != nil && !errors.Is(err, pgx.ErrNoRows) {
-		return Value{}, fmt.Errorf("aktuelle version lesen: %w", err)
-	}
-	newVersion := currentVersion + 1
-
-	if _, err := tx.Exec(ctx, `
-		INSERT INTO config_values (key, scope, value, version, updated_at)
-		VALUES ($1, $2, $3, $4, now())
-		ON CONFLICT (key, scope) DO UPDATE SET value = $3, version = $4, updated_at = now()
-	`, key, scope, value, newVersion); err != nil {
-		return Value{}, fmt.Errorf("wert speichern: %w", err)
-	}
-
-	if _, err := tx.Exec(ctx, `
-		INSERT INTO config_value_history (key, scope, value, version, changed_at)
-		VALUES ($1, $2, $3, $4, now())
-	`, key, scope, value, newVersion); err != nil {
-		return Value{}, fmt.Errorf("historie schreiben: %w", err)
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		return Value{}, fmt.Errorf("transaktion committen: %w", err)
-	}
-
-	return Value{Key: key, Scope: scope, Value: value, Version: newVersion}, nil
-}
-
-// Get liefert den Wert fuer GENAU EINEN Scope (kein Vorrang-Fallback) — die
-// Vorrangregel (Tenant vor Global) lebt bewusst in Service.Resolve, damit
-// Store rein CRUD bleibt.
-func (s *Store) Get(ctx context.Context, key, scope string) (Value, error) {
-	var v Value
-	v.Key, v.Scope = key, scope
-	err := s.pool.QueryRow(ctx, `
-		SELECT value, version FROM config_values WHERE key = $1 AND scope = $2
-	`, key, scope).Scan(&v.Value, &v.Version)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return Value{}, ErrNotFound
-		}
-		return Value{}, fmt.Errorf("wert lesen: %w", err)
-	}
-	return v, nil
-}
-
-// History liefert die vollstaendige Versionshistorie eines (key, scope) in
-// aufsteigender Reihenfolge (Akzeptanzkriterium 2 / Pruefung 3).
-func (s *Store) History(ctx context.Context, key, scope string) ([]HistoryEntry, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT key, scope, value, version FROM config_value_history
-		WHERE key = $1 AND scope = $2 ORDER BY version
-	`, key, scope)
-	if err != nil {
-		return nil, fmt.Errorf("historie abfragen: %w", err)
-	}
-	defer rows.Close()
-
-	var out []HistoryEntry
-	for rows.Next() {
-		var h HistoryEntry
-		if err := rows.Scan(&h.Key, &h.Scope, &h.Value, &h.Version); err != nil {
-			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
-		}
-		out = append(out, h)
-	}
-	return out, rows.Err()
-}
@@ -1,119 +0,0 @@
-package cfgservice
-
-import (
-	"context"
-	"errors"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupStoreTest(t *testing.T) (*Store, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS config_values (
-			key TEXT NOT NULL,
-			scope TEXT NOT NULL CHECK (scope <> ''),
-			value TEXT NOT NULL,
-			version INT NOT NULL,
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (key, scope)
-		);
-		CREATE TABLE IF NOT EXISTS config_value_history (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			key TEXT NOT NULL,
-			scope TEXT NOT NULL,
-			value TEXT NOT NULL,
-			version INT NOT NULL,
-			changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() {
-		_, _ = pool.Exec(ctx, `DELETE FROM config_value_history WHERE key LIKE 'test\_%' ESCAPE '\'`)
-		_, _ = pool.Exec(ctx, `DELETE FROM config_values WHERE key LIKE 'test\_%' ESCAPE '\'`)
-		pool.Close()
-	}
-	return NewStore(pool), cleanup
-}
-
-func TestStore_SetIncrementsVersion(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	v1, err := store.Set(ctx, "test_key", GlobalScope, "erster-wert")
-	if err != nil {
-		t.Fatalf("set 1: %v", err)
-	}
-	if v1.Version != 1 {
-		t.Fatalf("erwartet version 1, habe %d", v1.Version)
-	}
-
-	v2, err := store.Set(ctx, "test_key", GlobalScope, "zweiter-wert")
-	if err != nil {
-		t.Fatalf("set 2: %v", err)
-	}
-	if v2.Version != 2 {
-		t.Fatalf("erwartet version 2, habe %d", v2.Version)
-	}
-
-	got, err := store.Get(ctx, "test_key", GlobalScope)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Value != "zweiter-wert" || got.Version != 2 {
-		t.Fatalf("aktueller wert unerwartet: %+v", got)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 3: Versionierungshistorie ueber mehrere
-// Aenderungen hinweg nachvollzogen.
-func TestStore_HistoryTracksAllChanges(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	values := []string{"v1", "v2", "v3"}
-	for _, v := range values {
-		if _, err := store.Set(ctx, "test_history_key", GlobalScope, v); err != nil {
-			t.Fatalf("set %q: %v", v, err)
-		}
-	}
-
-	history, err := store.History(ctx, "test_history_key", GlobalScope)
-	if err != nil {
-		t.Fatalf("history: %v", err)
-	}
-	if len(history) != 3 {
-		t.Fatalf("erwartet 3 historieneintraege, habe %d", len(history))
-	}
-	for i, h := range history {
-		if h.Version != i+1 || h.Value != values[i] {
-			t.Fatalf("historieneintrag[%d] unerwartet: %+v", i, h)
-		}
-	}
-}
-
-func TestStore_GetUnknownKeyReturnsNotFound(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Get(ctx, "test_nie_gesetzt", GlobalScope); !errors.Is(err, ErrNotFound) {
-		t.Fatalf("erwartet ErrNotFound, habe %v", err)
-	}
-}
@@ -1,207 +0,0 @@
-package channels
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-func setupTest(t *testing.T) (*TemplateStore, *InAppStore, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS notification_templates (
-			tenant_slug TEXT NOT NULL, key TEXT NOT NULL, subject TEXT NOT NULL, body TEXT NOT NULL,
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now(), PRIMARY KEY (tenant_slug, key)
-		);
-		CREATE TABLE IF NOT EXISTS in_app_notifications (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), tenant_slug TEXT NOT NULL, user_id TEXT NOT NULL,
-			title TEXT NOT NULL, body TEXT NOT NULL, read_at TIMESTAMPTZ, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS notification_jobs (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), channel TEXT NOT NULL, recipient TEXT NOT NULL,
-			payload JSONB NOT NULL DEFAULT '{}'::jsonb, status TEXT NOT NULL DEFAULT 'pending' CHECK (status IN ('pending','sent','failed')),
-			attempts INT NOT NULL DEFAULT 0, max_attempts INT NOT NULL DEFAULT 5,
-			next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(), last_error TEXT,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() { pool.Close() }
-	return NewTemplateStore(pool), NewInAppStore(pool), cleanup
-}
-
-func uniqueKey(prefix string) string {
-	return fmt.Sprintf("%s_%d", prefix, time.Now().UnixNano())
-}
-
-// Akzeptanzkriterium 1 + Pruefung 1: Vorlagenrendering mit fehlenden
-// Platzhaltern bricht kontrolliert ab.
-func TestRender_MissingPlaceholderAborts(t *testing.T) {
-	tmpl := Template{Subject: "Hallo {{.name}}", Body: "Dein Code: {{.code}}"}
-
-	_, _, err := Render(tmpl, map[string]any{"name": "Alice"}) // "code" fehlt
-	if err == nil {
-		t.Fatal("erwartet fehler bei fehlendem platzhalter 'code'")
-	}
-}
-
-func TestRender_SucceedsWithAllPlaceholders(t *testing.T) {
-	tmpl := Template{Subject: "Hallo {{.name}}", Body: "Dein Code: {{.code}}"}
-
-	subject, body, err := Render(tmpl, map[string]any{"name": "Alice", "code": "1234"})
-	if err != nil {
-		t.Fatalf("render: %v", err)
-	}
-	if subject != "Hallo Alice" || body != "Dein Code: 1234" {
-		t.Fatalf("unerwartet: subject=%q body=%q", subject, body)
-	}
-}
-
-// Akzeptanzkriterium 3: Vorlagen pro Tenant anpassbar, Fallback auf global.
-func TestTemplateStore_TenantOverrideFallsBackToGlobal(t *testing.T) {
-	templates, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	key := uniqueKey("welcome")
-	if err := templates.Set(ctx, GlobalTemplateScope, key, "Willkommen", "Standardtext"); err != nil {
-		t.Fatalf("set global: %v", err)
-	}
-	if err := templates.Set(ctx, "acme", key, "Willkommen bei ACME", "ACME-Text"); err != nil {
-		t.Fatalf("set tenant: %v", err)
-	}
-
-	got, err := templates.Resolve(ctx, "acme", key)
-	if err != nil {
-		t.Fatalf("resolve acme: %v", err)
-	}
-	if got.Subject != "Willkommen bei ACME" {
-		t.Fatalf("erwartet tenant-vorlage, habe %q", got.Subject)
-	}
-
-	got, err = templates.Resolve(ctx, "globex", key) // hat keine eigene vorlage
-	if err != nil {
-		t.Fatalf("resolve globex: %v", err)
-	}
-	if got.Subject != "Willkommen" {
-		t.Fatalf("erwartet global-fallback, habe %q", got.Subject)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: als gelesen markiert wird korrekt gefuehrt.
-func TestInAppStore_MarkReadIsReflectedCorrectly(t *testing.T) {
-	_, inApp, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	userID := uniqueKey("user")
-	id, err := inApp.Create(ctx, "acme", userID, "Titel", "Text")
-	if err != nil {
-		t.Fatalf("create: %v", err)
-	}
-
-	list, err := inApp.ListForUser(ctx, "acme", userID)
-	if err != nil {
-		t.Fatalf("list (vor markierung): %v", err)
-	}
-	if len(list) != 1 || list[0].ReadAt != nil {
-		t.Fatalf("erwartet 1 ungelesene benachrichtigung, habe %+v", list)
-	}
-
-	if err := inApp.MarkRead(ctx, id); err != nil {
-		t.Fatalf("mark read: %v", err)
-	}
-
-	list, err = inApp.ListForUser(ctx, "acme", userID)
-	if err != nil {
-		t.Fatalf("list (nach markierung): %v", err)
-	}
-	if len(list) != 1 || list[0].ReadAt == nil {
-		t.Fatalf("erwartet als gelesen markiert, habe %+v", list)
-	}
-}
-
-// EmailSender bricht ab, BEVOR SMTP ueberhaupt kontaktiert wird, wenn keine
-// Vorlage aufloesbar ist — Nachweis, dass der Abbruch vor dem Netzwerkzugriff
-// erfolgt (Akzeptanzkriterium 1).
-func TestEmailSender_AbortsBeforeSMTPWhenTemplateMissing(t *testing.T) {
-	templates, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	sender := NewEmailSender(templates, "nicht-aufloesbarer-smtp-host.invalid", "25", "noreply@example.com")
-
-	err := sender.Send(ctx, notify.Notification{
-		Recipient: "user@example.com",
-		Payload:   map[string]any{"template_key": uniqueKey("nie_konfiguriert"), "tenant_slug": "acme"},
-	})
-	if !errors.Is(err, ErrTemplateNotFound) {
-		t.Fatalf("erwartet ErrTemplateNotFound (kein smtp-versuch), habe %v", err)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: E-Mail-Versand bei nicht erreichbarem
-// SMTP-Server loest das dokumentierte Retry-Verhalten ueber CFG-02 aus.
-func TestEmailSender_TriggersDispatcherRetryOnUnreachableSMTP(t *testing.T) {
-	templates, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	defer pool.Close()
-
-	key := uniqueKey("retry_test")
-	if err := templates.Set(ctx, GlobalTemplateScope, key, "Betreff", "Text ohne Platzhalter"); err != nil {
-		t.Fatalf("set template: %v", err)
-	}
-
-	sender := NewEmailSender(templates, "nicht-aufloesbarer-smtp-host.invalid", "25", "noreply@example.com")
-	dispatcher := notify.NewDispatcher(pool).WithRetryPolicy(2, time.Millisecond)
-
-	jobID, err := dispatcher.Enqueue(ctx, "email", "user@example.com", map[string]any{"template_key": key, "tenant_slug": "acme"})
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	for i := 0; i < 2; i++ {
-		time.Sleep(5 * time.Millisecond)
-		if _, _, err := dispatcher.ProcessDue(ctx, sender, 10); err != nil {
-			t.Fatalf("process due %d: %v", i, err)
-		}
-	}
-
-	var status string
-	var attempts int
-	if err := pool.QueryRow(ctx, `SELECT status, attempts FROM notification_jobs WHERE id = $1`, jobID).Scan(&status, &attempts); err != nil {
-		t.Fatalf("status lesen: %v", err)
-	}
-	if status != "failed" {
-		t.Fatalf("erwartet status failed nach ausgeschoepften wiederholungen bei unerreichbarem smtp, habe %q", status)
-	}
-	if attempts != 2 {
-		t.Fatalf("erwartet 2 versuche, habe %d", attempts)
-	}
-}
@@ -1,81 +0,0 @@
-package channels
-
-import (
-	"context"
-	"fmt"
-	"net/smtp"
-	"os"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-// EmailSender implementiert notify.Sender fuer den E-Mail-Kanal
-// (Akzeptanzkriterium 1). SMTP-Zugangsdaten kommen ausschliesslich aus
-// Umgebungsvariablen, nie aus Code/DB.
-type EmailSender struct {
-	templates *TemplateStore
-	host      string
-	port      string
-	from      string
-	username  string
-	password  string
-}
-
-// NewEmailSenderFromEnv liest NEXARCH_SMTP_HOST/PORT/FROM (Pflicht) sowie
-// optional NEXARCH_SMTP_USER/PASSWORD.
-func NewEmailSenderFromEnv(templates *TemplateStore) (*EmailSender, error) {
-	host := os.Getenv("NEXARCH_SMTP_HOST")
-	port := os.Getenv("NEXARCH_SMTP_PORT")
-	from := os.Getenv("NEXARCH_SMTP_FROM")
-	if host == "" || port == "" || from == "" {
-		return nil, fmt.Errorf("channels: NEXARCH_SMTP_HOST/PORT/FROM muessen gesetzt sein")
-	}
-	return &EmailSender{
-		templates: templates,
-		host:      host,
-		port:      port,
-		from:      from,
-		username:  os.Getenv("NEXARCH_SMTP_USER"),
-		password:  os.Getenv("NEXARCH_SMTP_PASSWORD"),
-	}, nil
-}
-
-// NewEmailSender erlaubt Tests, Host/Port explizit zu setzen (z.B. einen
-// absichtlich nicht erreichbaren Host fuer den Retry-Nachweis), ohne
-// Umgebungsvariablen zu benoetigen.
-func NewEmailSender(templates *TemplateStore, host, port, from string) *EmailSender {
-	return &EmailSender{templates: templates, host: host, port: port, from: from}
-}
-
-// Send rendert zuerst die Vorlage — schlaegt das fehl (z.B. fehlender
-// Platzhalter), wird NIE eine SMTP-Verbindung aufgebaut
-// (Akzeptanzkriterium 1 / Pruefung 1: kontrollierter Abbruch statt
-// fehlerhafter Mail). Ein danach fehlschlagender SMTP-Versand liefert einen
-// Fehler zurueck, den CFG-02s Dispatcher fuer die bereits getestete
-// Wiederholungslogik nutzt (Akzeptanzkriterium 3 / Pruefung 3) — kein
-// zweiter Retry-Mechanismus hier.
-func (e *EmailSender) Send(ctx context.Context, n notify.Notification) error {
-	templateKey, _ := n.Payload["template_key"].(string)
-	tenantSlug, _ := n.Payload["tenant_slug"].(string)
-
-	tmpl, err := e.templates.Resolve(ctx, tenantSlug, templateKey)
-	if err != nil {
-		return fmt.Errorf("vorlage aufloesen: %w", err)
-	}
-	subject, body, err := Render(tmpl, n.Payload)
-	if err != nil {
-		return err
-	}
-
-	msg := []byte("Subject: " + subject + "\r\n\r\n" + body)
-
-	var auth smtp.Auth
-	if e.username != "" {
-		auth = smtp.PlainAuth("", e.username, e.password, e.host)
-	}
-	addr := e.host + ":" + e.port
-	if err := smtp.SendMail(addr, auth, e.from, []string{n.Recipient}, msg); err != nil {
-		return fmt.Errorf("smtp-versand fehlgeschlagen: %w", err)
-	}
-	return nil
-}
@@ -1,74 +0,0 @@
-package channels
-
-import (
-	"context"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-type InAppNotification struct {
-	ID         string
-	TenantSlug string
-	UserID     string
-	Title      string
-	Body       string
-	ReadAt     *time.Time
-	CreatedAt  time.Time
-}
-
-// InAppStore persistiert In-App-Benachrichtigungen (Akzeptanzkriterium 2).
-type InAppStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewInAppStore(pool *pgxpool.Pool) *InAppStore {
-	return &InAppStore{pool: pool}
-}
-
-func (s *InAppStore) Create(ctx context.Context, tenantSlug, userID, title, body string) (string, error) {
-	var id string
-	err := s.pool.QueryRow(ctx, `
-		INSERT INTO in_app_notifications (tenant_slug, user_id, title, body)
-		VALUES ($1, $2, $3, $4)
-		RETURNING id
-	`, tenantSlug, userID, title, body).Scan(&id)
-	if err != nil {
-		return "", fmt.Errorf("in-app-benachrichtigung speichern: %w", err)
-	}
-	return id, nil
-}
-
-// ListForUser liefert alle Benachrichtigungen eines Benutzers (ueber API
-// abrufbar, Akzeptanzkriterium 2).
-func (s *InAppStore) ListForUser(ctx context.Context, tenantSlug, userID string) ([]InAppNotification, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, title, body, read_at, created_at FROM in_app_notifications
-		WHERE tenant_slug = $1 AND user_id = $2 ORDER BY created_at DESC
-	`, tenantSlug, userID)
-	if err != nil {
-		return nil, fmt.Errorf("benachrichtigungen auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []InAppNotification
-	for rows.Next() {
-		n := InAppNotification{TenantSlug: tenantSlug, UserID: userID}
-		if err := rows.Scan(&n.ID, &n.Title, &n.Body, &n.ReadAt, &n.CreatedAt); err != nil {
-			return nil, fmt.Errorf("benachrichtigung lesen: %w", err)
-		}
-		out = append(out, n)
-	}
-	return out, rows.Err()
-}
-
-// MarkRead markiert eine Benachrichtigung als gelesen (Akzeptanzkriterium 2
-// / Pruefung 2).
-func (s *InAppStore) MarkRead(ctx context.Context, id string) error {
-	_, err := s.pool.Exec(ctx, `UPDATE in_app_notifications SET read_at = now() WHERE id = $1`, id)
-	if err != nil {
-		return fmt.Errorf("als gelesen markieren: %w", err)
-	}
-	return nil
-}
@@ -1,41 +0,0 @@
-package channels
-
-import (
-	"context"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-// InAppSender implementiert notify.Sender fuer den In-App-Kanal
-// (Akzeptanzkriterium 2). Nutzt eine Vorlage, falls payload["template_key"]
-// gesetzt ist, sonst direkt payload["title"]/["body"].
-type InAppSender struct {
-	store     *InAppStore
-	templates *TemplateStore
-}
-
-func NewInAppSender(store *InAppStore, templates *TemplateStore) *InAppSender {
-	return &InAppSender{store: store, templates: templates}
-}
-
-func (s *InAppSender) Send(ctx context.Context, n notify.Notification) error {
-	tenantSlug, _ := n.Payload["tenant_slug"].(string)
-
-	var title, body string
-	if templateKey, ok := n.Payload["template_key"].(string); ok && templateKey != "" {
-		tmpl, err := s.templates.Resolve(ctx, tenantSlug, templateKey)
-		if err != nil {
-			return err
-		}
-		title, body, err = Render(tmpl, n.Payload)
-		if err != nil {
-			return err
-		}
-	} else {
-		title, _ = n.Payload["title"].(string)
-		body, _ = n.Payload["body"].(string)
-	}
-
-	_, err := s.store.Create(ctx, tenantSlug, n.Recipient, title, body)
-	return err
-}
@@ -1,32 +0,0 @@
-package channels
-
-import (
-	"context"
-	"fmt"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-// Router waehlt anhand von Notification.Channel den zustaendigen Kanal aus
-// — ein neuer Kanal wird per Register() ergaenzt, ohne den Dispatcher
-// (CFG-02) oder Router selbst umzubauen (Unleash-artiger Strategie-Gedanke,
-// siehe Ticket-DNA).
-type Router struct {
-	channels map[string]notify.Sender
-}
-
-func NewRouter() *Router {
-	return &Router{channels: make(map[string]notify.Sender)}
-}
-
-func (r *Router) Register(channel string, sender notify.Sender) {
-	r.channels[channel] = sender
-}
-
-func (r *Router) Send(ctx context.Context, n notify.Notification) error {
-	sender, ok := r.channels[n.Channel]
-	if !ok {
-		return fmt.Errorf("channels: unbekannter kanal %q", n.Channel)
-	}
-	return sender.Send(ctx, n)
-}
@@ -1,104 +0,0 @@
-// Package channels implementiert Core CFG-03: konkrete Zustellkanaele fuer
-// den CFG-02-Dispatcher (E-Mail, In-App) inklusive Vorlagenverwaltung.
-// Neue Kanaele lassen sich ergaenzen, ohne den Dispatcher selbst
-// anzufassen — jeder Kanal implementiert nur notify.Sender.
-package channels
-
-import (
-	"bytes"
-	"context"
-	"errors"
-	"fmt"
-	"text/template"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// GlobalTemplateScope ist der Fallback-Wert, wenn ein Tenant keine eigene
-// Vorlage konfiguriert hat (Akzeptanzkriterium 3).
-const GlobalTemplateScope = "global"
-
-var ErrTemplateNotFound = errors.New("channels: keine vorlage gefunden")
-
-type Template struct {
-	Subject string
-	Body    string
-}
-
-type TemplateStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewTemplateStore(pool *pgxpool.Pool) *TemplateStore {
-	return &TemplateStore{pool: pool}
-}
-
-// Set legt eine Vorlage fuer einen Tenant (oder GlobalTemplateScope) fest.
-func (s *TemplateStore) Set(ctx context.Context, tenantSlug, key, subject, body string) error {
-	_, err := s.pool.Exec(ctx, `
-		INSERT INTO notification_templates (tenant_slug, key, subject, body, updated_at)
-		VALUES ($1, $2, $3, $4, now())
-		ON CONFLICT (tenant_slug, key) DO UPDATE SET subject = $3, body = $4, updated_at = now()
-	`, tenantSlug, key, subject, body)
-	if err != nil {
-		return fmt.Errorf("vorlage speichern: %w", err)
-	}
-	return nil
-}
-
-// Resolve liefert die Vorlage eines Tenants, faellt auf GlobalTemplateScope
-// zurueck, wenn der Tenant keine eigene gesetzt hat (Akzeptanzkriterium 3).
-func (s *TemplateStore) Resolve(ctx context.Context, tenantSlug, key string) (Template, error) {
-	if tenantSlug != "" && tenantSlug != GlobalTemplateScope {
-		if t, err := s.get(ctx, tenantSlug, key); err == nil {
-			return t, nil
-		} else if !errors.Is(err, ErrTemplateNotFound) {
-			return Template{}, err
-		}
-	}
-	return s.get(ctx, GlobalTemplateScope, key)
-}
-
-func (s *TemplateStore) get(ctx context.Context, tenantSlug, key string) (Template, error) {
-	var t Template
-	err := s.pool.QueryRow(ctx, `
-		SELECT subject, body FROM notification_templates WHERE tenant_slug = $1 AND key = $2
-	`, tenantSlug, key).Scan(&t.Subject, &t.Body)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return Template{}, ErrTemplateNotFound
-		}
-		return Template{}, fmt.Errorf("vorlage lesen: %w", err)
-	}
-	return t, nil
-}
-
-// Render fuellt eine Vorlage mit data. Fehlt ein referenzierter Platzhalter
-// in data, bricht das Rendering kontrolliert MIT FEHLER ab, statt eine
-// fehlerhafte/unvollstaendige Nachricht zu erzeugen (Akzeptanzkriterium 1 /
-// Pruefung 1) — text/template mit Option("missingkey=error") liefert dafuer
-// einen Fehler statt stillschweigend "<no value>" einzusetzen.
-func Render(tmpl Template, data map[string]any) (subject, body string, err error) {
-	subject, err = renderOne("subject", tmpl.Subject, data)
-	if err != nil {
-		return "", "", err
-	}
-	body, err = renderOne("body", tmpl.Body, data)
-	if err != nil {
-		return "", "", err
-	}
-	return subject, body, nil
-}
-
-func renderOne(name, text string, data map[string]any) (string, error) {
-	tmpl, err := template.New(name).Option("missingkey=error").Parse(text)
-	if err != nil {
-		return "", fmt.Errorf("vorlage %q parsen: %w", name, err)
-	}
-	var buf bytes.Buffer
-	if err := tmpl.Execute(&buf, data); err != nil {
-		return "", fmt.Errorf("vorlage %q rendern (fehlender platzhalter?): %w", name, err)
-	}
-	return buf.String(), nil
-}
@@ -0,0 +1,87 @@
+// Package flag implementiert Core LIC-02: einen Feature-Flag-Dienst mit
+// Strategien (global an/aus, Prozentsatz, Tenant-Zielgruppe) als Kernfunktion
+// des Core-Dienstes selbst — keine zusaetzliche Infrastruktur (Unleash-Server
+// + eigene DB), siehe "bewusst vermeiden" im LIC-02-Ticket.
+package flag
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"hash/fnv"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+var ErrNotFound = errors.New("flag: nicht gefunden")
+
+// Flag ist die zentrale Definition — Auswertung (Evaluate) ist bewusst davon
+// getrennt (Unleash-Prinzip: Flag-Verwaltung vs. Flag-Auswertung).
+type Flag struct {
+	Key               string
+	Enabled           bool
+	RolloutPercentage int
+	TargetTenantSlugs []string
+}
+
+// Store ist die Verwaltungsseite (Admin): Flags definieren/lesen.
+type Store struct {
+	pool *pgxpool.Pool
+}
+
+func NewStore(pool *pgxpool.Pool) *Store {
+	return &Store{pool: pool}
+}
+
+func (s *Store) Set(ctx context.Context, f Flag) error {
+	if f.TargetTenantSlugs == nil {
+		f.TargetTenantSlugs = []string{} // pgx uebertraegt ein nil-Slice sonst als SQL NULL statt leerem Array.
+	}
+	_, err := s.pool.Exec(ctx, `
+		INSERT INTO feature_flags (key, enabled, rollout_percentage, target_tenant_slugs, updated_at)
+		VALUES ($1, $2, $3, $4, now())
+		ON CONFLICT (key) DO UPDATE SET
+			enabled = $2, rollout_percentage = $3, target_tenant_slugs = $4, updated_at = now()
+	`, f.Key, f.Enabled, f.RolloutPercentage, f.TargetTenantSlugs)
+	if err != nil {
+		return fmt.Errorf("flag speichern: %w", err)
+	}
+	return nil
+}
+
+func (s *Store) Get(ctx context.Context, key string) (Flag, error) {
+	var f Flag
+	row := s.pool.QueryRow(ctx, `
+		SELECT key, enabled, rollout_percentage, target_tenant_slugs
+		FROM feature_flags WHERE key = $1
+	`, key)
+	if err := row.Scan(&f.Key, &f.Enabled, &f.RolloutPercentage, &f.TargetTenantSlugs); err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return Flag{}, ErrNotFound
+		}
+		return Flag{}, fmt.Errorf("flag lesen: %w", err)
+	}
+	return f, nil
+}
+
+// evaluate wendet die Strategien in fester Reihenfolge an: globaler
+// An/Aus-Schalter zuerst, dann Tenant-Zielgruppe, dann Prozentsatz-Rollout.
+// Ein unbekannter/nicht getroffener Fall ergibt false — Fail-Safe-Default,
+// kein Feature wird versehentlich aktiv.
+func evaluate(f Flag, tenantSlug string) bool {
+	if f.Enabled {
+		return true
+	}
+	for _, target := range f.TargetTenantSlugs {
+		if target == tenantSlug {
+			return true
+		}
+	}
+	if f.RolloutPercentage > 0 {
+		h := fnv.New32a()
+		_, _ = h.Write([]byte(f.Key + "|" + tenantSlug))
+		return int(h.Sum32()%100) < f.RolloutPercentage
+	}
+	return false
+}
@@ -0,0 +1,43 @@
+package flag
+
+import "testing"
+
+func TestEvaluate_GlobalEnabled(t *testing.T) {
+	f := Flag{Key: "k", Enabled: true}
+	if !evaluate(f, "irgendein-tenant") {
+		t.Fatal("global aktiviertes flag sollte fuer jeden tenant true liefern")
+	}
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: Zielgruppen-Strategie.
+func TestEvaluate_TargetTenantStrategy(t *testing.T) {
+	f := Flag{Key: "k", Enabled: false, TargetTenantSlugs: []string{"acme"}}
+	if !evaluate(f, "acme") {
+		t.Fatal("erwartet true fuer tenant in zielgruppe")
+	}
+	if evaluate(f, "globex") {
+		t.Fatal("erwartet false fuer tenant ausserhalb der zielgruppe")
+	}
+}
+
+func TestEvaluate_RolloutPercentageBoundaries(t *testing.T) {
+	full := Flag{Key: "k", RolloutPercentage: 100}
+	if !evaluate(full, "beliebiger-tenant-1") || !evaluate(full, "beliebiger-tenant-2") {
+		t.Fatal("100% rollout sollte immer true liefern")
+	}
+
+	none := Flag{Key: "k", RolloutPercentage: 0}
+	if evaluate(none, "beliebiger-tenant") {
+		t.Fatal("0% rollout ohne enabled/zielgruppe sollte false liefern")
+	}
+}
+
+func TestEvaluate_RolloutIsDeterministicPerTenant(t *testing.T) {
+	f := Flag{Key: "k", RolloutPercentage: 50}
+	first := evaluate(f, "stabiler-tenant")
+	for i := 0; i < 5; i++ {
+		if evaluate(f, "stabiler-tenant") != first {
+			t.Fatal("rollout-auswertung sollte fuer denselben tenant/key stabil sein")
+		}
+	}
+}
@@ -0,0 +1,87 @@
+package flag
+
+import (
+	"context"
+	"log/slog"
+	"sync"
+	"time"
+)
+
+// DefaultCacheTTL ist die dokumentierte Cache-Invalidierungszeit
+// (Akzeptanzkriterium 2/3): eine Aenderung wirkt spaetestens nach dieser
+// Zeit auf allen Core-Instanzen, ohne dass ein Dienst neu gestartet werden
+// muss (Akzeptanzkriterium 3).
+const DefaultCacheTTL = 5 * time.Second
+
+type cacheEntry struct {
+	flag      Flag
+	expiresAt time.Time
+}
+
+// Service ist die Auswertungsseite (SDK/Client-Analogon zu Unleash) mit
+// lokalem TTL-Cache. Bewusst getrennt von Store (Verwaltung).
+type Service struct {
+	store *Store
+	ttl   time.Duration
+
+	mu    sync.RWMutex
+	cache map[string]cacheEntry
+}
+
+func NewService(store *Store, ttl time.Duration) *Service {
+	if ttl <= 0 {
+		ttl = DefaultCacheTTL
+	}
+	return &Service{store: store, ttl: ttl, cache: make(map[string]cacheEntry)}
+}
+
+// IsEnabled wertet ein Flag fuer einen Tenant aus. Liefert IMMER einen
+// bool ohne Fehlerwert — ein nicht erreichbarer Flag-Dienst darf abhaengige
+// Aufrufer nicht zum Absturz bringen oder zu Fehlerbehandlungscode zwingen,
+// der leicht vergessen wird (Akzeptanzkriterium 3 / Pruefung 3: dokumentiertes
+// Fallback-Verhalten = false, ggf. aus dem zuletzt bekannten Zwischenspeicher).
+func (s *Service) IsEnabled(ctx context.Context, tenantSlug, key string) bool {
+	f, ok := s.resolve(ctx, key)
+	if !ok {
+		return false
+	}
+	return evaluate(f, tenantSlug)
+}
+
+func (s *Service) resolve(ctx context.Context, key string) (Flag, bool) {
+	s.mu.RLock()
+	entry, exists := s.cache[key]
+	fresh := exists && time.Now().Before(entry.expiresAt)
+	s.mu.RUnlock()
+	if fresh {
+		return entry.flag, true
+	}
+
+	f, err := s.store.Get(ctx, key)
+	if err != nil {
+		if exists {
+			slog.Warn("feature-flag-dienst nicht erreichbar, nutze zwischengespeicherten stand",
+				"flag_key", key, "error", err)
+			return entry.flag, true
+		}
+		slog.Warn("feature-flag-dienst nicht erreichbar, kein zwischengespeicherter stand vorhanden, fallback: deaktiviert",
+			"flag_key", key, "error", err)
+		return Flag{}, false
+	}
+
+	s.mu.Lock()
+	s.cache[key] = cacheEntry{flag: f, expiresAt: time.Now().Add(s.ttl)}
+	s.mu.Unlock()
+	return f, true
+}
+
+// Invalidate erzwingt beim naechsten IsEnabled-Aufruf ein sofortiges Neuladen
+// aus der Datenbank statt auf den TTL-Ablauf zu warten — wird nach Store.Set
+// auf derselben Instanz aufgerufen, damit der Schreiber die eigene Aenderung
+// ohne Wartezeit sieht. Andere Core-Instanzen sehen sie spaetestens nach
+// DefaultCacheTTL (siehe Akzeptanzkriterium 3).
+func (s *Service) Invalidate(key string) {
+	s.mu.Lock()
+	delete(s.cache, key)
+	s.mu.Unlock()
+}
@@ -0,0 +1,179 @@
+package flag
+
+import (
+	"context"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func setupFlagStoreTest(t *testing.T) (*Store, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS feature_flags (
+			key TEXT PRIMARY KEY,
+			enabled BOOLEAN NOT NULL DEFAULT false,
+			rollout_percentage INT NOT NULL DEFAULT 0,
+			target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		)`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() {
+		_, _ = pool.Exec(ctx, `DELETE FROM feature_flags WHERE key LIKE 'test\_%' ESCAPE '\'`)
+		pool.Close()
+	}
+	return NewStore(pool), cleanup
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: Zielgruppen-Strategie liefert im Test
+// die erwartete Auswertung.
+func TestService_TargetTenantStrategy(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := store.Set(ctx, Flag{Key: "test_target_flag", TargetTenantSlugs: []string{"acme"}}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, time.Hour)
+
+	if !svc.IsEnabled(ctx, "acme", "test_target_flag") {
+		t.Fatal("erwartet true fuer tenant in zielgruppe")
+	}
+	if svc.IsEnabled(ctx, "globex", "test_target_flag") {
+		t.Fatal("erwartet false fuer tenant ausserhalb der zielgruppe")
+	}
+}
+
+// Akzeptanzkriterium 2 + 3 + Pruefung 1: Flag-Aenderung wirkt innerhalb der
+// dokumentierten Cache-Invalidierungszeit, automatisiert gemessen.
+func TestService_CacheInvalidationTiming(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	const ttl = 150 * time.Millisecond
+	if err := store.Set(ctx, Flag{Key: "test_ttl_flag", Enabled: false}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, ttl)
+
+	if svc.IsEnabled(ctx, "acme", "test_ttl_flag") {
+		t.Fatal("erwartet false vor der aenderung")
+	}
+
+	// Aenderung "auf einer anderen instanz" simulieren: direkt ueber den
+	// Store, ohne svc.Invalidate aufzurufen.
+	changedAt := time.Now()
+	if err := store.Set(ctx, Flag{Key: "test_ttl_flag", Enabled: true}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+
+	// Sofort danach sollte der Cache noch den alten Stand liefern.
+	if svc.IsEnabled(ctx, "acme", "test_ttl_flag") {
+		t.Fatal("cache haette den alten (false) stand liefern sollen, direkt nach der aenderung")
+	}
+
+	deadline := changedAt.Add(ttl + 100*time.Millisecond)
+	for time.Now().Before(deadline) {
+		if svc.IsEnabled(ctx, "acme", "test_ttl_flag") {
+			elapsed := time.Since(changedAt)
+			t.Logf("aenderung wurde nach %s wirksam (ziel: innerhalb %s + toleranz)", elapsed, ttl)
+			return
+		}
+		time.Sleep(10 * time.Millisecond)
+	}
+	t.Fatalf("aenderung wurde nicht innerhalb von %s wirksam", deadline.Sub(changedAt))
+}
+
+func TestService_InvalidateForcesImmediateRefresh(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := store.Set(ctx, Flag{Key: "test_invalidate_flag", Enabled: false}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, time.Hour) // lange TTL, damit Invalidate den unterschied macht
+	_ = svc.IsEnabled(ctx, "acme", "test_invalidate_flag")
+
+	if err := store.Set(ctx, Flag{Key: "test_invalidate_flag", Enabled: true}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc.Invalidate("test_invalidate_flag")
+
+	if !svc.IsEnabled(ctx, "acme", "test_invalidate_flag") {
+		t.Fatal("erwartet sofort sichtbaren neuen stand nach Invalidate")
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: Ausfall des Flag-Dienstes fuehrt zu
+// dokumentiertem Fallback-Verhalten, nicht zum Absturz.
+func TestService_FallsBackOnStoreFailure(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := store.Set(ctx, Flag{Key: "test_fallback_flag", Enabled: true}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, time.Hour)
+
+	// Cache vorwaermen, waehrend die DB noch erreichbar ist.
+	if !svc.IsEnabled(ctx, "acme", "test_fallback_flag") {
+		t.Fatal("erwartet true bei funktionierender db")
+	}
+
+	brokenPool, err := pgxpool.New(ctx, "postgresql://nonexistent-host-fuer-test:5432/x?connect_timeout=1")
+	if err != nil {
+		t.Fatalf("broken pool erstellen (sollte nicht sofort verbinden): %v", err)
+	}
+	brokenStore := NewStore(brokenPool)
+
+	svcWithCache := NewService(brokenStore, time.Nanosecond) // TTL sofort abgelaufen, erzwingt reload-versuch
+	svcWithCache.mu.Lock()
+	svcWithCache.cache["test_fallback_flag"] = cacheEntry{
+		flag:      Flag{Key: "test_fallback_flag", Enabled: true},
+		expiresAt: time.Now().Add(-time.Hour), // bereits abgelaufen
+	}
+	svcWithCache.mu.Unlock()
+
+	func() {
+		defer func() {
+			if r := recover(); r != nil {
+				t.Fatalf("IsEnabled hat gepanict statt einen fallback zu liefern: %v", r)
+			}
+		}()
+		if !svcWithCache.IsEnabled(ctx, "acme", "test_fallback_flag") {
+			t.Fatal("erwartet fallback auf zwischengespeicherten (true) stand bei db-ausfall")
+		}
+	}()
+
+	// Voellig frischer Dienst ohne jeglichen cache + kaputte db -> sicherer
+	// default false, kein absturz.
+	freshSvc := NewService(brokenStore, time.Hour)
+	func() {
+		defer func() {
+			if r := recover(); r != nil {
+				t.Fatalf("IsEnabled hat gepanict: %v", r)
+			}
+		}()
+		if freshSvc.IsEnabled(ctx, "acme", "test_fallback_flag") {
+			t.Fatal("erwartet fail-safe false ohne cache und mit kaputter db")
+		}
+	}()
+}
@@ -0,0 +1,99 @@
+package moduleregistry
+
+import (
+	"context"
+	"crypto/rand"
+	"crypto/sha256"
+	"crypto/subtle"
+	"encoding/hex"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+)
+
+var (
+	ErrModuleNotRegistered = errors.New("moduleregistry: modul muss vor provisionierung registriert sein")
+	ErrInvalidCredential   = errors.New("moduleregistry: ungueltiges oder fehlendes service-credential")
+)
+
+// Provision stellt ein Service-Credential (Client-ID + Secret) fuer eine
+// Modul-Instanz aus (Akzeptanzkriterium 4). Das Secret wird NUR beim
+// Ausstellen im Klartext zurueckgegeben, gespeichert wird ausschliesslich
+// dessen SHA-256-Hash.
+func (r *Registry) Provision(ctx context.Context, moduleName string) (clientID, secret string, err error) {
+	if _, err := r.Get(ctx, moduleName); err != nil {
+		if errors.Is(err, ErrModuleNotFound) {
+			return "", "", ErrModuleNotRegistered
+		}
+		return "", "", err
+	}
+
+	clientID, err = randomToken(16)
+	if err != nil {
+		return "", "", fmt.Errorf("client-id erzeugen: %w", err)
+	}
+	secret, err = randomToken(32)
+	if err != nil {
+		return "", "", fmt.Errorf("secret erzeugen: %w", err)
+	}
+	hash := hashSecret(secret)
+
+	_, err = r.pool.Exec(ctx, `
+		INSERT INTO module_credentials (module_name, client_id, secret_hash, issued_at)
+		VALUES ($1, $2, $3, now())
+		ON CONFLICT (module_name) DO UPDATE SET client_id = $2, secret_hash = $3, issued_at = now()
+	`, moduleName, clientID, hash)
+	if err != nil {
+		return "", "", fmt.Errorf("credential speichern: %w", err)
+	}
+	return clientID, secret, nil
+}
+
+// Authenticate prueft ein Service-Credential timing-safe (Referenzmuster
+// siehe AUD-02) — Aufrufe ohne gueltiges Credential werden abgelehnt
+// (Akzeptanzkriterium 4 / Pruefung 4).
+func (r *Registry) Authenticate(ctx context.Context, clientID, secret string) (moduleName string, ok bool, err error) {
+	if clientID == "" || secret == "" {
+		return "", false, nil
+	}
+
+	var storedHash []byte
+	err = r.pool.QueryRow(ctx, `
+		SELECT module_name, secret_hash FROM module_credentials WHERE client_id = $1
+	`, clientID).Scan(&moduleName, &storedHash)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return "", false, nil
+		}
+		return "", false, fmt.Errorf("credential lesen: %w", err)
+	}
+
+	if !timingSafeEqual(hashSecret(secret), storedHash) {
+		return "", false, nil
+	}
+	return moduleName, true, nil
+}
+
+func randomToken(n int) (string, error) {
+	buf := make([]byte, n)
+	if _, err := rand.Read(buf); err != nil {
+		return "", err
+	}
+	return hex.EncodeToString(buf), nil
+}
+
+func hashSecret(secret string) []byte {
+	sum := sha256.Sum256([]byte(secret))
+	return sum[:]
+}
+
+// timingSafeEqual folgt derselben Referenzimplementierung wie AUD-02
+// (subtle.ConstantTimeCompare) — projektweite Konvention fuer jeden
+// sicherheitsrelevanten Vergleich.
+func timingSafeEqual(a, b []byte) bool {
+	if len(a) != len(b) {
+		return false
+	}
+	return subtle.ConstantTimeCompare(a, b) == 1
+}
@@ -0,0 +1,46 @@
+package moduleregistry
+
+import "net/http"
+
+// RequireActiveModule weist Anfragen an ein nicht aktiviertes Modul ZENTRAL
+// ab, bevor der eigentliche Modul-Handler erreicht wird (Akzeptanzkriterium 2 /
+// Pruefung 1) — Casbin-Prinzip: Durchsetzung als Middleware statt verstreuter
+// Pruefungen in jedem Handler. tenantSlug/moduleName werden hier ueber
+// Query-Parameter gelesen (echte Extraktion aus JWT/Tenant-Kontext ist
+// API-05/TEN-06, nicht Teil dieser Kachel).
+func (r *Registry) RequireActiveModule(moduleName string, next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, req *http.Request) {
+		tenantSlug := req.URL.Query().Get("tenant")
+		active, err := r.IsActive(req.Context(), tenantSlug, moduleName)
+		if err != nil {
+			http.Error(w, "aktivierungspruefung fehlgeschlagen", http.StatusInternalServerError)
+			return
+		}
+		if !active {
+			http.Error(w, "modul nicht aktiviert", http.StatusForbidden)
+			return
+		}
+		next(w, req)
+	}
+}
+
+// RequireServiceCredential authentifiziert eine Modul-Instanz ueber ihr
+// Service-Credential (X-Client-Id/X-Client-Secret-Header) BEVOR der
+// eigentliche Handler erreicht wird (Akzeptanzkriterium 4 / Pruefung 4).
+func (r *Registry) RequireServiceCredential(next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, req *http.Request) {
+		clientID := req.Header.Get("X-Client-Id")
+		secret := req.Header.Get("X-Client-Secret")
+
+		_, ok, err := r.Authenticate(req.Context(), clientID, secret)
+		if err != nil {
+			http.Error(w, "authentifizierung fehlgeschlagen", http.StatusInternalServerError)
+			return
+		}
+		if !ok {
+			http.Error(w, ErrInvalidCredential.Error(), http.StatusUnauthorized)
+			return
+		}
+		next(w, req)
+	}
+}
@@ -0,0 +1,120 @@
+// Package moduleregistry implementiert Core API-02: die Registry, in der
+// sich Fachmodule (DMS, Mail, weitere) mit Metadaten eintragen, gekoppelt an
+// die Aktivierungspruefung aus LIC-02 (Feature-Flags). Zusaetzlich
+// authentifiziert die Registry Modul-Instanzen selbst ueber ein bei
+// Provisionierung ausgestelltes Service-Credential.
+package moduleregistry
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+)
+
+var (
+	ErrMissingName    = errors.New("moduleregistry: name darf nicht leer sein")
+	ErrMissingVersion = errors.New("moduleregistry: version darf nicht leer sein")
+	ErrModuleNotFound = errors.New("moduleregistry: modul nicht registriert")
+)
+
+type Module struct {
+	Name          string
+	Version       string
+	RequiredFlags []string
+}
+
+type Registry struct {
+	pool  *pgxpool.Pool
+	flags *flag.Service
+}
+
+func NewRegistry(pool *pgxpool.Pool, flags *flag.Service) *Registry {
+	return &Registry{pool: pool, flags: flags}
+}
+
+// Register traegt ein Modul mit Name, Version und benoetigten Feature-Flags
+// ein (Akzeptanzkriterium 1). Fehlende Pflichtangaben werden abgewiesen
+// (Akzeptanzkriterium 1 / Pruefung 2). Erneutes Register desselben Namens
+// aktualisiert Version/Flags (Redeploy-Fall).
+func (r *Registry) Register(ctx context.Context, name, version string, requiredFlags []string) (Module, error) {
+	if name == "" {
+		return Module{}, ErrMissingName
+	}
+	if version == "" {
+		return Module{}, ErrMissingVersion
+	}
+	if requiredFlags == nil {
+		requiredFlags = []string{}
+	}
+
+	_, err := r.pool.Exec(ctx, `
+		INSERT INTO modules (name, version, required_flags, registered_at)
+		VALUES ($1, $2, $3, now())
+		ON CONFLICT (name) DO UPDATE SET version = $2, required_flags = $3, registered_at = now()
+	`, name, version, requiredFlags)
+	if err != nil {
+		return Module{}, fmt.Errorf("modul registrieren: %w", err)
+	}
+	return Module{Name: name, Version: version, RequiredFlags: requiredFlags}, nil
+}
+
+func (r *Registry) Get(ctx context.Context, name string) (Module, error) {
+	var m Module
+	m.Name = name
+	err := r.pool.QueryRow(ctx, `
+		SELECT version, required_flags FROM modules WHERE name = $1
+	`, name).Scan(&m.Version, &m.RequiredFlags)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return Module{}, ErrModuleNotFound
+		}
+		return Module{}, fmt.Errorf("modul lesen: %w", err)
+	}
+	return m, nil
+}
+
+// List liefert alle registrierten Module (Akzeptanzkriterium 3: ueber API
+// abfragbar, z.B. fuer Statusseite/Lizenzoberflaeche).
+func (r *Registry) List(ctx context.Context) ([]Module, error) {
+	rows, err := r.pool.Query(ctx, `SELECT name, version, required_flags FROM modules ORDER BY name`)
+	if err != nil {
+		return nil, fmt.Errorf("module auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Module
+	for rows.Next() {
+		var m Module
+		if err := rows.Scan(&m.Name, &m.Version, &m.RequiredFlags); err != nil {
+			return nil, fmt.Errorf("modul lesen: %w", err)
+		}
+		out = append(out, m)
+	}
+	return out, rows.Err()
+}
+
+// IsActive prueft, ob ein registriertes Modul fuer einen Tenant aktiviert
+// ist: registriert UND alle benoetigten Feature-Flags sind fuer diesen
+// Tenant aktiv (Akzeptanzkriterium 2). Ein nicht registriertes Modul gilt
+// immer als nicht aktiv.
+func (r *Registry) IsActive(ctx context.Context, tenantSlug, moduleName string) (bool, error) {
+	m, err := r.Get(ctx, moduleName)
+	if err != nil {
+		if errors.Is(err, ErrModuleNotFound) {
+			return false, nil
+		}
+		return false, err
+	}
+
+	for _, flagKey := range m.RequiredFlags {
+		if !r.flags.IsEnabled(ctx, tenantSlug, flagKey) {
+			return false, nil
+		}
+	}
+	return true, nil
+}
@@ -0,0 +1,304 @@
+package moduleregistry
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+)
+
+func setupTest(t *testing.T) (*Registry, *flag.Store, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS feature_flags (
+			key TEXT PRIMARY KEY, enabled BOOLEAN NOT NULL DEFAULT false,
+			rollout_percentage INT NOT NULL DEFAULT 0, target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS modules (
+			name TEXT PRIMARY KEY, version TEXT NOT NULL CHECK (version <> ''),
+			required_flags TEXT[] NOT NULL DEFAULT '{}', registered_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS module_credentials (
+			module_name TEXT PRIMARY KEY REFERENCES modules(name),
+			client_id TEXT NOT NULL UNIQUE, secret_hash BYTEA NOT NULL,
+			issued_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	flagStore := flag.NewStore(pool)
+	// Kurze TTL, damit Tests, die den Flag-Store direkt aendern (an
+	// Registry.IsActive vorbei), den neuen Stand ohne manuelles Invalidate
+	// zuverlaessig sehen.
+	flagService := flag.NewService(flagStore, 10*time.Millisecond)
+	registry := NewRegistry(pool, flagService)
+
+	cleanup := func() { pool.Close() }
+	return registry, flagStore, cleanup
+}
+
+func uniqueModuleName(t *testing.T) string {
+	return fmt.Sprintf("dms_%d", time.Now().UnixNano())
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: fehlende Pflichtangaben abgewiesen.
+func TestRegister_RejectsMissingFields(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := registry.Register(ctx, "", "1.0", nil); !errors.Is(err, ErrMissingName) {
+		t.Fatalf("erwartet ErrMissingName, habe %v", err)
+	}
+	if _, err := registry.Register(ctx, "dms", "", nil); !errors.Is(err, ErrMissingVersion) {
+		t.Fatalf("erwartet ErrMissingVersion, habe %v", err)
+	}
+}
+
+func TestRegister_AndGet(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+
+	m, err := registry.Register(ctx, name, "1.2.0", []string{"dms_enabled"})
+	if err != nil {
+		t.Fatalf("register: %v", err)
+	}
+	if m.Version != "1.2.0" || len(m.RequiredFlags) != 1 {
+		t.Fatalf("unerwartet: %+v", m)
+	}
+
+	got, err := registry.Get(ctx, name)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	if got.Version != "1.2.0" {
+		t.Fatalf("get version = %q", got.Version)
+	}
+}
+
+// Akzeptanzkriterium 2 + 3 + Pruefung 3: konsistente Daten nach
+// Aktivierung/Deaktivierung eines Moduls.
+func TestIsActive_ReflectsFlagStateConsistently(t *testing.T) {
+	registry, flagStore, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+	flagKey := name + "_enabled"
+
+	if _, err := registry.Register(ctx, name, "1.0", []string{flagKey}); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+
+	active, err := registry.IsActive(ctx, "acme", name)
+	if err != nil {
+		t.Fatalf("is active (vor flag): %v", err)
+	}
+	if active {
+		t.Fatal("erwartet nicht aktiv, solange flag nicht gesetzt ist")
+	}
+
+	if err := flagStore.Set(ctx, flag.Flag{Key: flagKey, Enabled: true}); err != nil {
+		t.Fatalf("flag setzen: %v", err)
+	}
+	time.Sleep(20 * time.Millisecond) // TTL abwarten
+
+	active, err = registry.IsActive(ctx, "acme", name)
+	if err != nil {
+		t.Fatalf("is active (nach flag an): %v", err)
+	}
+	if !active {
+		t.Fatal("erwartet aktiv, nachdem flag aktiviert wurde")
+	}
+
+	if err := flagStore.Set(ctx, flag.Flag{Key: flagKey, Enabled: false}); err != nil {
+		t.Fatalf("flag zuruecksetzen: %v", err)
+	}
+	time.Sleep(20 * time.Millisecond) // TTL abwarten
+	active, err = registry.IsActive(ctx, "acme", name)
+	if err != nil {
+		t.Fatalf("is active (nach flag aus): %v", err)
+	}
+	if active {
+		t.Fatal("erwartet wieder nicht aktiv, nachdem flag deaktiviert wurde")
+	}
+}
+
+func TestIsActive_UnregisteredModuleIsNeverActive(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	active, err := registry.IsActive(ctx, "acme", "nie-registriert")
+	if err != nil {
+		t.Fatalf("is active: %v", err)
+	}
+	if active {
+		t.Fatal("unregistriertes modul darf nie aktiv sein")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: Anfrage an deaktiviertes Modul wird
+// zentral abgewiesen, BEVOR die Modul-Logik erreicht wird.
+func TestRequireActiveModule_BlocksBeforeHandler(t *testing.T) {
+	registry, flagStore, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+	flagKey := name + "_enabled"
+
+	if _, err := registry.Register(ctx, name, "1.0", []string{flagKey}); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+
+	handlerReached := false
+	handler := registry.RequireActiveModule(name, func(w http.ResponseWriter, r *http.Request) {
+		handlerReached = true
+		w.WriteHeader(http.StatusOK)
+	})
+
+	req := httptest.NewRequest(http.MethodGet, "/modul?tenant=acme", nil)
+	rec := httptest.NewRecorder()
+	handler(rec, req)
+	if rec.Code != http.StatusForbidden {
+		t.Fatalf("status = %d, want 403", rec.Code)
+	}
+	if handlerReached {
+		t.Fatal("handler haette bei deaktiviertem modul NICHT erreicht werden duerfen")
+	}
+
+	if err := flagStore.Set(ctx, flag.Flag{Key: flagKey, Enabled: true}); err != nil {
+		t.Fatalf("flag setzen: %v", err)
+	}
+	req2 := httptest.NewRequest(http.MethodGet, "/modul?tenant=acme", nil)
+	rec2 := httptest.NewRecorder()
+	handler(rec2, req2)
+	if rec2.Code != http.StatusOK {
+		t.Fatalf("status nach aktivierung = %d, want 200", rec2.Code)
+	}
+	if !handlerReached {
+		t.Fatal("handler haette bei aktiviertem modul erreicht werden muessen")
+	}
+}
+
+// Akzeptanzkriterium 4 + Pruefung 4: gueltiges/ungueltiges Service-Credential.
+func TestProvisionAndAuthenticate(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+
+	if _, err := registry.Register(ctx, name, "1.0", nil); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+
+	clientID, secret, err := registry.Provision(ctx, name)
+	if err != nil {
+		t.Fatalf("provision: %v", err)
+	}
+	if clientID == "" || secret == "" {
+		t.Fatal("erwartet nicht-leere client-id/secret")
+	}
+
+	moduleName, ok, err := registry.Authenticate(ctx, clientID, secret)
+	if err != nil {
+		t.Fatalf("authenticate (korrekt): %v", err)
+	}
+	if !ok || moduleName != name {
+		t.Fatalf("erwartet erfolgreiche authentifizierung fuer %q, habe ok=%v moduleName=%q", name, ok, moduleName)
+	}
+
+	_, ok, err = registry.Authenticate(ctx, clientID, "falsches-secret")
+	if err != nil {
+		t.Fatalf("authenticate (falsch): %v", err)
+	}
+	if ok {
+		t.Fatal("erwartet fehlschlag bei falschem secret")
+	}
+
+	_, ok, err = registry.Authenticate(ctx, "unbekannte-client-id", secret)
+	if err != nil {
+		t.Fatalf("authenticate (unbekannt): %v", err)
+	}
+	if ok {
+		t.Fatal("erwartet fehlschlag bei unbekannter client-id")
+	}
+}
+
+func TestProvision_RequiresRegisteredModule(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, _, err := registry.Provision(ctx, "nie-registriert"); !errors.Is(err, ErrModuleNotRegistered) {
+		t.Fatalf("erwartet ErrModuleNotRegistered, habe %v", err)
+	}
+}
+
+func TestRequireServiceCredential_RejectsInvalidAcceptsValid(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+
+	if _, err := registry.Register(ctx, name, "1.0", nil); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+	clientID, secret, err := registry.Provision(ctx, name)
+	if err != nil {
+		t.Fatalf("provision: %v", err)
+	}
+
+	handler := registry.RequireServiceCredential(func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+
+	// Fehlendes Credential.
+	req := httptest.NewRequest(http.MethodPost, "/service-aufruf", nil)
+	rec := httptest.NewRecorder()
+	handler(rec, req)
+	if rec.Code != http.StatusUnauthorized {
+		t.Fatalf("ohne credential: status = %d, want 401", rec.Code)
+	}
+
+	// Falsches Secret.
+	req2 := httptest.NewRequest(http.MethodPost, "/service-aufruf", nil)
+	req2.Header.Set("X-Client-Id", clientID)
+	req2.Header.Set("X-Client-Secret", "falsch")
+	rec2 := httptest.NewRecorder()
+	handler(rec2, req2)
+	if rec2.Code != http.StatusUnauthorized {
+		t.Fatalf("falsches secret: status = %d, want 401", rec2.Code)
+	}
+
+	// Gueltiges Credential.
+	req3 := httptest.NewRequest(http.MethodPost, "/service-aufruf", nil)
+	req3.Header.Set("X-Client-Id", clientID)
+	req3.Header.Set("X-Client-Secret", secret)
+	rec3 := httptest.NewRecorder()
+	handler(rec3, req3)
+	if rec3.Code != http.StatusOK {
+		t.Fatalf("gueltiges credential: status = %d, want 200", rec3.Code)
+	}
+}
@@ -0,0 +1,97 @@
+package moduletrust
+
+import (
+	"context"
+	"fmt"
+	"sync"
+	"time"
+)
+
+// StaleCache ist der generische Rechte-/Feature-Flag-Cache-Kontrakt
+// (Akzeptanzkriterium 2): TTL-basiert, mit explizitem, benanntem Verhalten
+// bei abgelaufenem Cache waehrend Core nicht erreichbar ist.
+//
+//   - Get: FAIL-OPEN fuer Lesevorgaenge. Schlaegt der Refresh fehl, aber es
+//     gibt bereits einen (wenn auch abgelaufenen) Stand, wird dieser mit
+//     stale=true zurueckgegeben — Begruendung: ein bereits authentifiziertes
+//     Modul soll mit dem letztbekannten Stand weiterarbeiten koennen statt
+//     hart zu blockieren (siehe "Bekannte Fehler vermeiden" im Ticket).
+//     Existiert noch nie ein Stand, gibt es keinen sinnvollen Fallback —
+//     dann liefert auch Get einen Fehler.
+//   - RequireFresh: FAIL-CLOSED fuer sicherheitskritische Aktionen (z.B.
+//     ein komplett NEUER Login). Nutzt NIEMALS einen zwischengespeicherten
+//     Stand, ruft immer frisch ab — Begruendung: eine neue Vertrauens-
+//     entscheidung darf nicht auf veralteten Daten beruhen, auch wenn das
+//     bedeutet, dass die Aktion bei Core-Ausfall sichtbar fehlschlaegt statt
+//     unsicher "irgendwie" durchgelassen zu werden.
+//
+// LIC-02 (internal/flag.Service) implementiert bereits denselben Kontrakt
+// fuer Feature-Flags — StaleCache verallgemeinert dasselbe Muster fuer
+// JWT-Signaturschluessel, damit beide Faelle derselben dokumentierten
+// Policy folgen.
+type StaleCache[T any] struct {
+	mu        sync.RWMutex
+	value     T
+	hasValue  bool
+	fetchedAt time.Time
+	ttl       time.Duration
+	fetch     func(ctx context.Context) (T, error)
+}
+
+func NewStaleCache[T any](ttl time.Duration, fetch func(ctx context.Context) (T, error)) *StaleCache[T] {
+	return &StaleCache[T]{ttl: ttl, fetch: fetch}
+}
+
+// Get liefert den Cache-Wert. FAIL-OPEN: bei Refresh-Fehler wird ein
+// vorhandener, ggf. abgelaufener Stand zurueckgegeben (stale=true).
+func (c *StaleCache[T]) Get(ctx context.Context) (value T, stale bool, err error) {
+	c.mu.RLock()
+	fresh := c.hasValue && time.Since(c.fetchedAt) < c.ttl
+	if fresh {
+		v := c.value
+		c.mu.RUnlock()
+		return v, false, nil
+	}
+	c.mu.RUnlock()
+
+	newVal, fetchErr := c.fetch(ctx)
+	if fetchErr == nil {
+		c.mu.Lock()
+		c.value, c.hasValue, c.fetchedAt = newVal, true, time.Now()
+		c.mu.Unlock()
+		return newVal, false, nil
+	}
+
+	c.mu.RLock()
+	defer c.mu.RUnlock()
+	if c.hasValue {
+		return c.value, true, nil
+	}
+	var zero T
+	return zero, false, fmt.Errorf("cache leer und refresh fehlgeschlagen: %w", fetchErr)
+}
+
+// Invalidate erzwingt beim naechsten Get-Aufruf einen sofortigen Refresh
+// statt auf den TTL-Ablauf zu warten (API-06, Akzeptanzkriterium 1: ein
+// Health-Check-getriggerter Wiederanlauf soll den Cache SOFORT aktualisieren,
+// nicht die reguläre TTL abwarten) — rein additiv, aendert nichts an
+// Get/RequireFresh (dasselbe Muster wie internal/flag.Service.Invalidate).
+func (c *StaleCache[T]) Invalidate() {
+	c.mu.Lock()
+	c.hasValue = false
+	c.mu.Unlock()
+}
+
+// RequireFresh ruft IMMER frisch ab (FAIL-CLOSED) — fuer sicherheitskritische
+// Aktionen, die niemals auf einem zwischengespeicherten Stand basieren duerfen.
+func (c *StaleCache[T]) RequireFresh(ctx context.Context) (T, error) {
+	v, err := c.fetch(ctx)
+	if err != nil {
+		var zero T
+		return zero, fmt.Errorf("core nicht erreichbar, sicherheitskritische aktion abgelehnt: %w", err)
+	}
+	c.mu.Lock()
+	c.value, c.hasValue, c.fetchedAt = v, true, time.Now()
+	c.mu.Unlock()
+	return v, nil
+}
@@ -0,0 +1,79 @@
+package moduletrust
+
+import (
+	"encoding/base64"
+	"encoding/json"
+	"fmt"
+	"net/http"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+type Claims struct {
+	Subject    string `json:"sub"`
+	TenantSlug string `json:"tenant"`
+	jwt.RegisteredClaims
+}
+
+// Issue signiert ein Token mit dem aktuellen Signierschluessel und traegt
+// dessen KID im JWT-Header ein — der Verifier auf Modulseite waehlt darueber
+// den passenden oeffentlichen Schluessel aus PublicKeySet() aus.
+func (m *KeyManager) Issue(subject, tenantSlug string, ttl time.Duration) (string, error) {
+	key, err := m.SigningKey()
+	if err != nil {
+		return "", err
+	}
+
+	now := time.Now()
+	claims := Claims{
+		Subject:    subject,
+		TenantSlug: tenantSlug,
+		RegisteredClaims: jwt.RegisteredClaims{
+			IssuedAt:  jwt.NewNumericDate(now),
+			ExpiresAt: jwt.NewNumericDate(now.Add(ttl)),
+		},
+	}
+	token := jwt.NewWithClaims(jwt.SigningMethodEdDSA, claims)
+	token.Header["kid"] = key.KID
+	return token.SignedString(key.Private)
+}
+
+type jwksResponse struct {
+	Keys []jwksKey `json:"keys"`
+}
+
+type jwksKey struct {
+	Kid       string `json:"kid"`
+	PublicKey string `json:"public_key"` // base64 (raw Ed25519, 32 Byte)
+}
+
+// ServeJWKS liefert alle bekannten oeffentlichen Schluessel als JSON —
+// Module fragen dies periodisch ab (nicht pro Request), siehe Verifier.
+func (m *KeyManager) ServeJWKS(w http.ResponseWriter, r *http.Request) {
+	set := m.PublicKeySet()
+	resp := jwksResponse{Keys: make([]jwksKey, 0, len(set))}
+	for kid, pub := range set {
+		resp.Keys = append(resp.Keys, jwksKey{Kid: kid, PublicKey: base64.StdEncoding.EncodeToString(pub)})
+	}
+	w.Header().Set("Content-Type", "application/json")
+	_ = json.NewEncoder(w).Encode(resp)
+}
+
+// ParseJWKS dekodiert die JSON-Antwort von ServeJWKS zurueck in kid->PublicKey
+// — Hilfsfunktion fuer Module, die JWKS per HTTP abrufen.
+func ParseJWKS(data []byte) (map[string][]byte, error) {
+	var resp jwksResponse
+	if err := json.Unmarshal(data, &resp); err != nil {
+		return nil, fmt.Errorf("jwks parsen: %w", err)
+	}
+	out := make(map[string][]byte, len(resp.Keys))
+	for _, k := range resp.Keys {
+		raw, err := base64.StdEncoding.DecodeString(k.PublicKey)
+		if err != nil {
+			return nil, fmt.Errorf("oeffentlichen schluessel %q dekodieren: %w", k.Kid, err)
+		}
+		out[k.Kid] = raw
+	}
+	return out, nil
+}
@@ -0,0 +1,83 @@
+// Package moduletrust implementiert Core API-05: asymmetrische JWT-Signatur
+// mit Schluesselverteilung (JWKS), damit DMS/Mail/Archive/Workflow JWTs
+// LOKAL verifizieren koennen, ohne pro Aufruf einen synchronen Request an
+// Core zu stellen — Core darf Fundament sein, ohne zum Flaschenhals zu
+// werden (siehe Entscheidungsverlauf "Vertrauensstellung Core<->Module" in
+// nexarch-state.json). IAM-02s HS256-Session-Cookie (Browser-Login) bleibt
+// unangetastet — dies ist ein zusaetzlicher, getrennter Vertrauensmechanismus
+// fuer Modul-zu-Modul/Modul-zu-Core-Aufrufe.
+package moduletrust
+
+import (
+	"crypto/ed25519"
+	"crypto/rand"
+	"encoding/hex"
+	"fmt"
+	"sync"
+)
+
+type KeyPair struct {
+	KID     string
+	Private ed25519.PrivateKey
+	Public  ed25519.PublicKey
+}
+
+// KeyManager haelt ALLE noch gueltigen Schluesselpaare — nicht nur das
+// aktuell signierende. Rotate erzeugt ein neues Paar und behaelt die alten
+// fuer die Verifikation bereits ausgestellter Tokens (Akzeptanzkriterium 3:
+// Rotation ohne Ausfallzeit fuer andere Module).
+type KeyManager struct {
+	mu   sync.RWMutex
+	keys []KeyPair // aeltestes zuerst, neuestes zuletzt
+}
+
+func NewKeyManager() (*KeyManager, error) {
+	m := &KeyManager{}
+	if _, err := m.Rotate(); err != nil {
+		return nil, err
+	}
+	return m, nil
+}
+
+// Rotate erzeugt ein neues Ed25519-Schluesselpaar mit eigener KID und macht
+// es zum aktuellen Signierschluessel. Aeltere Schluessel bleiben in
+// PublicKeySet() erhalten, damit bereits ausgestellte Tokens weiterhin
+// verifizierbar sind.
+func (m *KeyManager) Rotate() (KeyPair, error) {
+	pub, priv, err := ed25519.GenerateKey(nil)
+	if err != nil {
+		return KeyPair{}, fmt.Errorf("schluesselpaar erzeugen: %w", err)
+	}
+	kidBytes := make([]byte, 8)
+	if _, err := rand.Read(kidBytes); err != nil {
+		return KeyPair{}, fmt.Errorf("kid erzeugen: %w", err)
+	}
+	kp := KeyPair{KID: hex.EncodeToString(kidBytes), Private: priv, Public: pub}
+
+	m.mu.Lock()
+	m.keys = append(m.keys, kp)
+	m.mu.Unlock()
+	return kp, nil
+}
+
+// SigningKey liefert den aktuellen (neuesten) Schluessel zum Signieren neuer Tokens.
+func (m *KeyManager) SigningKey() (KeyPair, error) {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	if len(m.keys) == 0 {
+		return KeyPair{}, fmt.Errorf("moduletrust: kein schluessel vorhanden")
+	}
+	return m.keys[len(m.keys)-1], nil
+}
+
+// PublicKeySet liefert ALLE bekannten oeffentlichen Schluessel (kid ->
+// public key) — die Grundlage fuer den JWKS-Endpunkt.
+func (m *KeyManager) PublicKeySet() map[string]ed25519.PublicKey {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	out := make(map[string]ed25519.PublicKey, len(m.keys))
+	for _, k := range m.keys {
+		out[k.KID] = k.Public
+	}
+	return out
+}
@@ -0,0 +1,214 @@
+package moduletrust
+
+import (
+	"context"
+	"crypto/ed25519"
+	"errors"
+	"net/http"
+	"sync"
+	"testing"
+	"time"
+)
+
+func TestIssueAndVerify_RoundTrip(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+	token, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return km.PublicKeySet(), nil
+	})
+	claims, err := v.Verify(context.Background(), token)
+	if err != nil {
+		t.Fatalf("verify: %v", err)
+	}
+	if claims.Subject != "user-1" || claims.TenantSlug != "acme" {
+		t.Fatalf("claims unerwartet: %+v", claims)
+	}
+}
+
+// Akzeptanzkriterium 1: Verifikation lokal, kein Request pro Aufruf.
+func TestVerify_DoesNotFetchPerCall(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+	token, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	var mu sync.Mutex
+	fetchCalls := 0
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		mu.Lock()
+		fetchCalls++
+		mu.Unlock()
+		return km.PublicKeySet(), nil
+	})
+
+	for i := 0; i < 10; i++ {
+		if _, err := v.Verify(context.Background(), token); err != nil {
+			t.Fatalf("verify %d: %v", i, err)
+		}
+	}
+
+	mu.Lock()
+	defer mu.Unlock()
+	if fetchCalls != 1 {
+		t.Fatalf("erwartet genau 1 fetch fuer 10 Verify-Aufrufe innerhalb der TTL, habe %d", fetchCalls)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: Core simuliert nicht erreichbar,
+// bereits authentifizierte Nutzer bleiben funktionsfaehig (Fail-Open mit
+// letztbekanntem Schluesselstand).
+func TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+	token, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	coreDown := false
+	v := NewVerifier(30*time.Millisecond, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		if coreDown {
+			return nil, errors.New("core nicht erreichbar (simuliert)")
+		}
+		return km.PublicKeySet(), nil
+	})
+
+	// Cache vorwaermen, waehrend Core noch erreichbar ist.
+	if _, err := v.Verify(context.Background(), token); err != nil {
+		t.Fatalf("verify (warm): %v", err)
+	}
+
+	// "Core abschalten" und TTL ablaufen lassen.
+	coreDown = true
+	time.Sleep(50 * time.Millisecond)
+
+	if _, err := v.Verify(context.Background(), token); err != nil {
+		t.Fatalf("verify sollte trotz core-ausfall mit letztbekanntem stand funktionieren: %v", err)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2: neue sicherheitskritische Aktionen
+// (z.B. neuer Login) schlagen bei Core-Ausfall klar fehl statt unsicher
+// durchgelassen zu werden — auch wenn ein (aelterer) Cache-Stand existiert.
+func TestRequireFreshKeys_FailsClosedWhenCoreUnreachable(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+
+	coreDown := false
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		if coreDown {
+			return nil, errors.New("core nicht erreichbar (simuliert)")
+		}
+		return km.PublicKeySet(), nil
+	})
+
+	// Cache vorwaermen (existiert jetzt ein "veralteter" gueltiger Stand).
+	if _, _, err := v.cache.Get(context.Background()); err != nil {
+		t.Fatalf("warm cache: %v", err)
+	}
+
+	coreDown = true
+	if err := v.RequireFreshKeys(context.Background()); err == nil {
+		t.Fatal("erwartet fehler (fail-closed) bei core-ausfall, habe nil")
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: Schluesselrotation ohne Ausfallzeit —
+// ein bereits ausgestelltes Token bleibt nach Rotation weiterhin
+// verifizierbar, ein zweites (simuliertes) Modul bekommt beide Schluessel.
+func TestRotate_NoDowntimeForAlreadyIssuedTokens(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+
+	oldToken, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue (alt): %v", err)
+	}
+
+	if _, err := km.Rotate(); err != nil {
+		t.Fatalf("rotate: %v", err)
+	}
+
+	newToken, err := km.Issue("user-2", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue (neu): %v", err)
+	}
+
+	// Simuliertes zweites Modul: fragt den vollstaendigen Schluesselsatz ab.
+	moduleB := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return km.PublicKeySet(), nil
+	})
+
+	if _, err := moduleB.Verify(context.Background(), oldToken); err != nil {
+		t.Fatalf("altes token sollte nach rotation weiterhin gueltig sein: %v", err)
+	}
+	if _, err := moduleB.Verify(context.Background(), newToken); err != nil {
+		t.Fatalf("neues token sollte gueltig sein: %v", err)
+	}
+}
+
+func TestVerify_RejectsUnknownKid(t *testing.T) {
+	km1, _ := NewKeyManager()
+	km2, _ := NewKeyManager() // komplett anderer, unbekannter schluessel
+
+	token, err := km1.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return km2.PublicKeySet(), nil // kennt km1s schluessel nicht
+	})
+	if _, err := v.Verify(context.Background(), token); !errors.Is(err, ErrInvalidToken) {
+		t.Fatalf("erwartet ErrInvalidToken, habe %v", err)
+	}
+}
+
+func TestJWKSRoundTrip(t *testing.T) {
+	km, _ := NewKeyManager()
+	km.Rotate()
+
+	var buf []byte
+	rec := &captureWriter{}
+	km.ServeJWKS(rec, nil)
+	buf = rec.body
+
+	parsed, err := ParseJWKS(buf)
+	if err != nil {
+		t.Fatalf("parse jwks: %v", err)
+	}
+	if len(parsed) != len(km.PublicKeySet()) {
+		t.Fatalf("erwartet %d schluessel, habe %d", len(km.PublicKeySet()), len(parsed))
+	}
+}
+
+type captureWriter struct {
+	body   []byte
+	header http.Header
+}
+
+func (w *captureWriter) Header() http.Header {
+	if w.header == nil {
+		w.header = http.Header{}
+	}
+	return w.header
+}
+func (w *captureWriter) Write(p []byte) (int, error) { w.body = append(w.body, p...); return len(p), nil }
+func (w *captureWriter) WriteHeader(statusCode int)  {}
@@ -0,0 +1,67 @@
+package moduletrust
+
+import (
+	"context"
+	"crypto/ed25519"
+	"errors"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+var ErrInvalidToken = errors.New("moduletrust: ungueltiges token")
+
+// KeyFetchFunc holt den aktuellen Schluesselsatz von Core (z.B. per HTTP-GET
+// auf ServeJWKS + ParseJWKS). Wird vom Verifier nur bei abgelaufener TTL
+// aufgerufen — NICHT bei jeder Verify()-Anfrage (Akzeptanzkriterium 1).
+type KeyFetchFunc func(ctx context.Context) (map[string]ed25519.PublicKey, error)
+
+// Verifier ist die Modulseite von API-05: verifiziert JWTs LOKAL gegen einen
+// per StaleCache zwischengespeicherten Schluesselsatz, ohne pro Aufruf einen
+// synchronen Request an Core zu stellen.
+type Verifier struct {
+	cache *StaleCache[map[string]ed25519.PublicKey]
+}
+
+func NewVerifier(ttl time.Duration, fetch KeyFetchFunc) *Verifier {
+	return &Verifier{cache: NewStaleCache(ttl, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return fetch(ctx)
+	})}
+}
+
+// Verify prueft die Signatur LOKAL gegen den (ggf. abgelaufenen, aber
+// vorhandenen) Schluesselsatz — FAIL-OPEN fuer bereits ausgestellte Tokens
+// (Akzeptanzkriterium 2): ist Core nicht erreichbar, aber ein alter
+// Schluesselsatz bekannt, wird damit weiter verifiziert.
+func (v *Verifier) Verify(ctx context.Context, tokenString string) (*Claims, error) {
+	keys, _, err := v.cache.Get(ctx)
+	if err != nil {
+		return nil, err
+	}
+
+	claims := &Claims{}
+	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
+		if _, ok := t.Method.(*jwt.SigningMethodEd25519); !ok {
+			return nil, ErrInvalidToken
+		}
+		kid, _ := t.Header["kid"].(string)
+		pub, ok := keys[kid]
+		if !ok {
+			return nil, ErrInvalidToken
+		}
+		return pub, nil
+	})
+	if err != nil || !token.Valid {
+		return nil, ErrInvalidToken
+	}
+	return claims, nil
+}
+
+// RequireFreshKeys ruft IMMER frisch von Core ab (FAIL-CLOSED) — fuer
+// sicherheitskritische Aktionen wie einen komplett neuen Login
+// (Akzeptanzkriterium 2): schlaegt klar fehl, wenn Core nicht erreichbar
+// ist, statt auf einem veralteten Schluesselsatz zu vertrauen.
+func (v *Verifier) RequireFreshKeys(ctx context.Context) error {
+	_, err := v.cache.RequireFresh(ctx)
+	return err
+}
@@ -1,81 +0,0 @@
-// Package notify implementiert Core CFG-02: den zentralen Benachrichtigungs-
-// Dispatcher, ueber den beliebige Module Benachrichtigungen ausloesen —
-// Warteschlange, Wiederholungslogik, Kanal-Abstraktion. Die tatsaechlichen
-// Kanaele (E-Mail/In-App) sind CFG-03, hier gibt es nur die Sender-
-// Schnittstelle als Vorbereitung.
-package notify
-
-import (
-	"context"
-	"encoding/json"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// DefaultMaxAttempts begrenzt Wiederholungsversuche (Akzeptanzkriterium 2) —
-// nach dieser Anzahl gibt der Dispatcher kontrolliert auf (status=failed)
-// statt endlos zu wiederholen.
-const DefaultMaxAttempts = 5
-
-// DefaultRetryBackoff ist die Basis-Wartezeit zwischen Wiederholungen,
-// linear mit der Versuchsnummer skaliert.
-const DefaultRetryBackoff = 200 * time.Millisecond
-
-type Notification struct {
-	ID        string
-	Channel   string
-	Recipient string
-	Payload   map[string]any
-	Attempts  int
-}
-
-// Sender ist die schmale Schnittstelle, die ein konkreter Kanal (CFG-03)
-// implementiert. Der Dispatcher selbst weiss nichts ueber E-Mail/In-App.
-type Sender interface {
-	Send(ctx context.Context, n Notification) error
-}
-
-// Dispatcher ist die EINE Schnittstelle, ueber die Module Benachrichtigungen
-// ausloesen — kein Modul baut eigenen Versandcode (Akzeptanzkriterium 1).
-type Dispatcher struct {
-	pool         *pgxpool.Pool
-	maxAttempts  int
-	retryBackoff time.Duration
-}
-
-func NewDispatcher(pool *pgxpool.Pool) *Dispatcher {
-	return &Dispatcher{pool: pool, maxAttempts: DefaultMaxAttempts, retryBackoff: DefaultRetryBackoff}
-}
-
-// WithRetryPolicy erlaubt Tests/Betrieb, Versuchsanzahl und Backoff
-// anzupassen, ohne die Default-Policy im Produktionscode zu veraendern.
-func (d *Dispatcher) WithRetryPolicy(maxAttempts int, backoff time.Duration) *Dispatcher {
-	return &Dispatcher{pool: d.pool, maxAttempts: maxAttempts, retryBackoff: backoff}
-}
-
-// Enqueue reiht eine Benachrichtigung in die Postgres-Warteschlange ein und
-// kehrt sofort zurueck — die Zeile ueberlebt jeden Neustart des Dispatcher-
-// Prozesses unveraendert (Akzeptanzkriterium 3), da sie ausschliesslich in
-// der Datenbank existiert, nicht im Prozessspeicher.
-func (d *Dispatcher) Enqueue(ctx context.Context, channel, recipient string, payload map[string]any) (string, error) {
-	if payload == nil {
-		payload = map[string]any{}
-	}
-	payloadJSON, err := json.Marshal(payload)
-	if err != nil {
-		return "", fmt.Errorf("payload serialisieren: %w", err)
-	}
-
-	var id string
-	err = d.pool.QueryRow(ctx, `
-		INSERT INTO notification_jobs (channel, recipient, payload, max_attempts)
-		VALUES ($1, $2, $3, $4)
-		RETURNING id
-	`, channel, recipient, payloadJSON, d.maxAttempts).Scan(&id)
-	if err != nil {
-		return "", fmt.Errorf("benachrichtigung einreihen: %w", err)
-	}
-	return id, nil
-}
@@ -1,219 +0,0 @@
-package notify
-
-import (
-	"context"
-	"errors"
-	"os"
-	"sync"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupTest(t *testing.T) (*pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS notification_jobs (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			channel TEXT NOT NULL,
-			recipient TEXT NOT NULL,
-			payload JSONB NOT NULL DEFAULT '{}'::jsonb,
-			status TEXT NOT NULL DEFAULT 'pending' CHECK (status IN ('pending', 'sent', 'failed')),
-			attempts INT NOT NULL DEFAULT 0,
-			max_attempts INT NOT NULL DEFAULT 5,
-			next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			last_error TEXT,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		)`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() { pool.Close() }
-	return pool, cleanup
-}
-
-type fakeSender struct {
-	mu        sync.Mutex
-	sentIDs   []string
-	failUntil int
-	calls     int
-}
-
-func (f *fakeSender) Send(ctx context.Context, n Notification) error {
-	f.mu.Lock()
-	defer f.mu.Unlock()
-	f.calls++
-	if f.calls <= f.failUntil {
-		return errors.New("simulierter zustellfehler")
-	}
-	f.sentIDs = append(f.sentIDs, n.ID)
-	return nil
-}
-
-func (f *fakeSender) sentCount() int {
-	f.mu.Lock()
-	defer f.mu.Unlock()
-	return len(f.sentIDs)
-}
-
-// Akzeptanzkriterium 1: Module loesen ueber Enqueue aus, keine eigene
-// Versandlogik noetig.
-func TestDispatcher_EnqueueAndProcess(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	d := NewDispatcher(pool)
-	id, err := d.Enqueue(ctx, "email", "alice@example.com", map[string]any{"subject": "Willkommen"})
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-	if id == "" {
-		t.Fatal("erwartet nicht-leere id")
-	}
-
-	sender := &fakeSender{}
-	sent, failed, err := d.ProcessDue(ctx, sender, 10)
-	if err != nil {
-		t.Fatalf("process: %v", err)
-	}
-	if sent != 1 || failed != 0 {
-		t.Fatalf("erwartet sent=1 failed=0, habe sent=%d failed=%d", sent, failed)
-	}
-	if sender.sentCount() != 1 {
-		t.Fatalf("erwartet 1 zustellung, habe %d", sender.sentCount())
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Wiederholungslogik greift bei
-// simuliertem Fehler und bricht nach definierter Anzahl kontrolliert ab.
-func TestProcessDue_RetriesThenGivesUpAfterMaxAttempts(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	d := NewDispatcher(pool).WithRetryPolicy(3, time.Millisecond)
-	id, err := d.Enqueue(ctx, "email", "bob@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	sender := &fakeSender{failUntil: 100} // schlaegt bei jedem versuch fehl
-
-	for i := 0; i < 3; i++ {
-		time.Sleep(5 * time.Millisecond) // next_attempt_at abwarten
-		if _, _, err := d.ProcessDue(ctx, sender, 10); err != nil {
-			t.Fatalf("process %d: %v", i, err)
-		}
-	}
-
-	var status string
-	var attempts int
-	if err := pool.QueryRow(ctx, `SELECT status, attempts FROM notification_jobs WHERE id = $1`, id).Scan(&status, &attempts); err != nil {
-		t.Fatalf("status lesen: %v", err)
-	}
-	if status != "failed" {
-		t.Fatalf("erwartet status failed nach max_attempts, habe %q", status)
-	}
-	if attempts != 3 {
-		t.Fatalf("erwartet 3 versuche, habe %d", attempts)
-	}
-
-	// Weiteres ProcessDue darf den bereits aufgegebenen job nicht mehr anfassen.
-	sent, failed, err := d.ProcessDue(ctx, sender, 10)
-	if err != nil {
-		t.Fatalf("process nach abbruch: %v", err)
-	}
-	if sent != 0 || failed != 0 {
-		t.Fatalf("erwartet keine weitere verarbeitung, habe sent=%d failed=%d", sent, failed)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 1: Neustart des Dienstes waehrend offener
-// Zustellung verliert keine Nachricht — simuliert durch eine komplett neue
-// Dispatcher/Pool-Instanz nach dem Enqueue, bevor irgendetwas verarbeitet wurde.
-func TestQueue_SurvivesRestartWithoutMessageLoss(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	firstInstance := NewDispatcher(pool)
-	id, err := firstInstance.Enqueue(ctx, "email", "carol@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	// "Neustart": eine voellig neue Dispatcher-Instanz (repraesentiert einen
-	// neuen Prozess) verbindet sich neu und verarbeitet die Warteschlange —
-	// die Nachricht existiert ausschliesslich in Postgres, nicht im
-	// Prozessspeicher der ersten Instanz.
-	restartedInstance := NewDispatcher(pool)
-	sender := &fakeSender{}
-	sent, failed, err := restartedInstance.ProcessDue(ctx, sender, 10)
-	if err != nil {
-		t.Fatalf("process nach neustart: %v", err)
-	}
-	if sent != 1 || failed != 0 {
-		t.Fatalf("erwartet sent=1 nach neustart, habe sent=%d failed=%d", sent, failed)
-	}
-	if len(sender.sentIDs) != 1 || sender.sentIDs[0] != id {
-		t.Fatalf("erwartet zustellung der urspruenglichen nachricht %q, habe %v", id, sender.sentIDs)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: zwei gleichzeitig ausloesende Module,
-// beide Nachrichten werden korrekt (und nicht doppelt) zugestellt.
-func TestProcessDue_ConcurrentDispatchBothDelivered(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	d := NewDispatcher(pool)
-	idA, err := d.Enqueue(ctx, "email", "modul-a@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue a: %v", err)
-	}
-	idB, err := d.Enqueue(ctx, "email", "modul-b@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue b: %v", err)
-	}
-
-	sender := &fakeSender{}
-	var wg sync.WaitGroup
-	for i := 0; i < 2; i++ {
-		wg.Add(1)
-		go func() {
-			defer wg.Done()
-			if _, _, err := d.ProcessDue(ctx, sender, 10); err != nil {
-				t.Errorf("process: %v", err)
-			}
-		}()
-	}
-	wg.Wait()
-
-	if sender.sentCount() != 2 {
-		t.Fatalf("erwartet genau 2 zustellungen, habe %d: %v", sender.sentCount(), sender.sentIDs)
-	}
-	seen := map[string]bool{}
-	for _, id := range sender.sentIDs {
-		if seen[id] {
-			t.Fatalf("nachricht %q wurde doppelt zugestellt", id)
-		}
-		seen[id] = true
-	}
-	if !seen[idA] || !seen[idB] {
-		t.Fatalf("erwartet beide nachrichten zugestellt, habe %v", sender.sentIDs)
-	}
-}
@@ -1,102 +0,0 @@
-package notify
-
-import (
-	"context"
-	"encoding/json"
-	"fmt"
-	"time"
-)
-
-// ProcessDue holt bis zu limit faellige Benachrichtigungen und versucht sie
-// ueber sender zuzustellen. FOR UPDATE SKIP LOCKED serialisiert konkurrierende
-// Aufrufe (Akzeptanzkriterium 3 / Pruefung 3: zwei gleichzeitig ausloesende
-// Module duerfen sich nicht gegenseitig blockieren oder Nachrichten doppelt
-// zustellen) — dieselbe Konvention wie internal/tenant.Lifecycle.ProcessDueDeletions.
-func (d *Dispatcher) ProcessDue(ctx context.Context, sender Sender, limit int) (sent, failed int, err error) {
-	tx, err := d.pool.Begin(ctx)
-	if err != nil {
-		return 0, 0, fmt.Errorf("transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	rows, err := tx.Query(ctx, `
-		SELECT id, channel, recipient, payload, attempts, max_attempts
-		FROM notification_jobs
-		WHERE status = 'pending' AND next_attempt_at <= now()
-		ORDER BY created_at
-		FOR UPDATE SKIP LOCKED
-		LIMIT $1
-	`, limit)
-	if err != nil {
-		return 0, 0, fmt.Errorf("faellige benachrichtigungen abfragen: %w", err)
-	}
-
-	type due struct {
-		id, channel, recipient string
-		payload                []byte
-		attempts, maxAttempts  int
-	}
-	var candidates []due
-	for rows.Next() {
-		var c due
-		if err := rows.Scan(&c.id, &c.channel, &c.recipient, &c.payload, &c.attempts, &c.maxAttempts); err != nil {
-			rows.Close()
-			return 0, 0, fmt.Errorf("faellige benachrichtigung lesen: %w", err)
-		}
-		candidates = append(candidates, c)
-	}
-	rows.Close()
-	if err := rows.Err(); err != nil {
-		return 0, 0, err
-	}
-
-	for _, c := range candidates {
-		var payload map[string]any
-		if err := json.Unmarshal(c.payload, &payload); err != nil {
-			payload = map[string]any{}
-		}
-
-		sendErr := sender.Send(ctx, Notification{
-			ID: c.id, Channel: c.channel, Recipient: c.recipient, Payload: payload, Attempts: c.attempts,
-		})
-
-		if sendErr == nil {
-			if _, err := tx.Exec(ctx, `
-				UPDATE notification_jobs SET status = 'sent', updated_at = now() WHERE id = $1
-			`, c.id); err != nil {
-				return sent, failed, fmt.Errorf("erfolg speichern: %w", err)
-			}
-			sent++
-			continue
-		}
-
-		newAttempts := c.attempts + 1
-		if newAttempts >= c.maxAttempts {
-			// Akzeptanzkriterium 2: kontrollierter Abbruch nach definierter
-			// Anzahl Versuche, kein endloses Wiederholen.
-			if _, err := tx.Exec(ctx, `
-				UPDATE notification_jobs
-				SET status = 'failed', attempts = $2, last_error = $3, updated_at = now()
-				WHERE id = $1
-			`, c.id, newAttempts, sendErr.Error()); err != nil {
-				return sent, failed, fmt.Errorf("fehlschlag speichern: %w", err)
-			}
-			failed++
-			continue
-		}
-
-		nextAttempt := time.Now().Add(time.Duration(newAttempts) * d.retryBackoff)
-		if _, err := tx.Exec(ctx, `
-			UPDATE notification_jobs
-			SET attempts = $2, next_attempt_at = $3, last_error = $4, updated_at = now()
-			WHERE id = $1
-		`, c.id, newAttempts, nextAttempt, sendErr.Error()); err != nil {
-			return sent, failed, fmt.Errorf("wiederholung planen: %w", err)
-		}
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		return 0, 0, fmt.Errorf("transaktion committen: %w", err)
-	}
-	return sent, failed, nil
-}
@@ -0,0 +1,155 @@
+// Package resync implementiert Core API-06: Wiederanlauf & Nachsynchro-
+// nisierung nach einem Core-Ausfall.
+//
+//   - Ein Modul puffert Audit-Events und Nutzungszaehler-Deltas LOKAL in
+//     Postgres (NICHT im Speicher — siehe "Bekannte Fehler vermeiden" im
+//     Ticket: ein erneuter Ausfall waehrend der Nachlieferung darf keine
+//     Daten verlieren, eine In-Memory-Queue wuerde das riskieren).
+//   - Ein Health-Check-getriggerter Worker erkennt die Core-Wiedererreich-
+//     barkeit SOFORT (nicht erst nach TTL-Ablauf, siehe StaleCache.Invalidate)
+//     und liefert die gepufferten Daten in ORIGINALER Reihenfolge, authenti-
+//     fiziert ueber das Service-Credential aus API-02
+//     (internal/moduleregistry.Registry.Authenticate).
+//
+// Dieses Paket dupliziert weder internal/audit (AUD-01) noch internal/usage
+// (LIC-03) — es liefert nur den Puffer- und Nachlieferungs-Mechanismus
+// DAVOR bzw. DANACH.
+package resync
+
+import (
+	"context"
+	"encoding/json"
+	"fmt"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// BufferedAuditEvent ist ein lokal gepuffertes Audit-Ereignis. Seq
+// garantiert die Wiederherstellung der urspruenglichen Reihenfolge
+// (Akzeptanzkriterium 2) unabhaengig von eventuellen Uhrzeit-Ungenauigkeiten.
+type BufferedAuditEvent struct {
+	ID         int64
+	Seq        int64
+	TenantSlug string
+	Actor      string
+	Action     string
+	Target     string
+	Metadata   map[string]any
+	CreatedAt  time.Time
+}
+
+// BufferedUsageDelta ist ein lokal gepuffertes Nutzungszaehler-Inkrement.
+type BufferedUsageDelta struct {
+	ID         int64
+	Seq        int64
+	TenantSlug string
+	Metric     string
+	Delta      int64
+	CreatedAt  time.Time
+}
+
+// Buffer ist die lokale, persistente Pufferqueue eines Moduls.
+type Buffer struct {
+	pool *pgxpool.Pool
+}
+
+func NewBuffer(pool *pgxpool.Pool) *Buffer {
+	return &Buffer{pool: pool}
+}
+
+// EnqueueAuditEvent puffert EIN Audit-Ereignis lokal — wird von einem
+// Fachmodul aufgerufen, wenn Core gerade nicht erreichbar ist (die
+// Erkennung "Core erreichbar oder nicht" ist NICHT Teil dieses Aufrufs,
+// siehe Worker).
+func (b *Buffer) EnqueueAuditEvent(ctx context.Context, tenantSlug, actor, action, target string, metadata map[string]any) error {
+	if metadata == nil {
+		metadata = map[string]any{}
+	}
+	metadataJSON, err := json.Marshal(metadata)
+	if err != nil {
+		return fmt.Errorf("metadata serialisieren: %w", err)
+	}
+	_, err = b.pool.Exec(ctx, `
+		INSERT INTO resync_audit_buffer (tenant_slug, actor, action, target, metadata)
+		VALUES ($1, $2, $3, $4, $5)
+	`, tenantSlug, actor, action, target, metadataJSON)
+	if err != nil {
+		return fmt.Errorf("audit-ereignis puffern: %w", err)
+	}
+	return nil
+}
+
+// EnqueueUsageDelta puffert EIN Nutzungszaehler-Inkrement lokal.
+func (b *Buffer) EnqueueUsageDelta(ctx context.Context, tenantSlug, metric string, delta int64) error {
+	_, err := b.pool.Exec(ctx, `
+		INSERT INTO resync_usage_buffer (tenant_slug, metric, delta)
+		VALUES ($1, $2, $3)
+	`, tenantSlug, metric, delta)
+	if err != nil {
+		return fmt.Errorf("nutzungsdelta puffern: %w", err)
+	}
+	return nil
+}
+
+// PendingAuditEvents liefert ALLE noch nicht zugestellten Audit-Events in
+// ORIGINALER Reihenfolge (Akzeptanzkriterium 2 / Pruefung 1).
+func (b *Buffer) PendingAuditEvents(ctx context.Context) ([]BufferedAuditEvent, error) {
+	rows, err := b.pool.Query(ctx, `
+		SELECT id, seq, tenant_slug, actor, action, target, metadata, created_at
+		FROM resync_audit_buffer ORDER BY seq
+	`)
+	if err != nil {
+		return nil, fmt.Errorf("gepufferte audit-events abfragen: %w", err)
+	}
+	defer rows.Close()
+
+	var out []BufferedAuditEvent
+	for rows.Next() {
+		var e BufferedAuditEvent
+		var metadataJSON []byte
+		if err := rows.Scan(&e.ID, &e.Seq, &e.TenantSlug, &e.Actor, &e.Action, &e.Target, &metadataJSON, &e.CreatedAt); err != nil {
+			return nil, fmt.Errorf("gepuffertes audit-event lesen: %w", err)
+		}
+		_ = json.Unmarshal(metadataJSON, &e.Metadata)
+		out = append(out, e)
+	}
+	return out, rows.Err()
+}
+
+// PendingUsageDeltas liefert ALLE noch nicht zugestellten Nutzungsdeltas.
+func (b *Buffer) PendingUsageDeltas(ctx context.Context) ([]BufferedUsageDelta, error) {
+	rows, err := b.pool.Query(ctx, `
+		SELECT id, seq, tenant_slug, metric, delta, created_at
+		FROM resync_usage_buffer ORDER BY seq
+	`)
+	if err != nil {
+		return nil, fmt.Errorf("gepufferte nutzungsdeltas abfragen: %w", err)
+	}
+	defer rows.Close()
+
+	var out []BufferedUsageDelta
+	for rows.Next() {
+		var d BufferedUsageDelta
+		if err := rows.Scan(&d.ID, &d.Seq, &d.TenantSlug, &d.Metric, &d.Delta, &d.CreatedAt); err != nil {
+			return nil, fmt.Errorf("gepuffertes nutzungsdelta lesen: %w", err)
+		}
+		out = append(out, d)
+	}
+	return out, rows.Err()
+}
+
+// RemoveAuditEvent entfernt EIN Audit-Event aus dem Puffer — wird NUR nach
+// von Core BESTAETIGTER Zustellung aufgerufen (Akzeptanzkriterium 2/3: erst
+// entfernen, wenn sicher zugestellt, sonst bleibt es fuer den naechsten
+// Versuch erhalten — kein Datenverlust bei erneutem Ausfall waehrend der
+// Nachlieferung).
+func (b *Buffer) RemoveAuditEvent(ctx context.Context, id int64) error {
+	_, err := b.pool.Exec(ctx, `DELETE FROM resync_audit_buffer WHERE id = $1`, id)
+	return err
+}
+
+func (b *Buffer) RemoveUsageDelta(ctx context.Context, id int64) error {
+	_, err := b.pool.Exec(ctx, `DELETE FROM resync_usage_buffer WHERE id = $1`, id)
+	return err
+}
@@ -0,0 +1,132 @@
+package resync
+
+import (
+	"context"
+	"encoding/json"
+	"net/http"
+	"time"
+)
+
+// AuditRecorder ist die schmale Schnittstelle, ueber die Core empfangene
+// Audit-Events tatsaechlich persistiert. In Produktion durch internal/audit
+// (AUD-01, nicht Abhaengigkeit dieser Kachel) implementiert — dieses Paket
+// dupliziert dessen Validierungs-/Speicherlogik NICHT, sondern ruft sie nur
+// auf. Die Events werden vom Aufrufer sequenziell in PendingAuditEvents-
+// Reihenfolge uebergeben (Akzeptanzkriterium 2).
+type AuditRecorder interface {
+	Record(ctx context.Context, tenantSlug, actor, action, target string, metadata map[string]any, occurredAt time.Time) error
+}
+
+// UsageIncrementer ist die schmale Schnittstelle zu Core's Nutzungszaehler
+// (in Produktion internal/usage, LIC-03 — nicht Abhaengigkeit dieser
+// Kachel). Jedes gepufferte Delta wird GENAU EINMAL angewendet.
+type UsageIncrementer interface {
+	Increment(ctx context.Context, tenantSlug, metric string, delta int64) error
+}
+
+// CredentialAuthenticator ist die schmale Schnittstelle zu API-02s
+// Service-Credential-Pruefung (internal/moduleregistry.Registry.Authenticate).
+type CredentialAuthenticator interface {
+	Authenticate(ctx context.Context, clientID, secret string) (moduleName string, ok bool, err error)
+}
+
+// Handler nimmt nachgelieferte Audit-Events/Nutzungsdeltas auf der
+// Core-Seite entgegen — authentifiziert ueber dasselbe Service-Credential
+// wie jeder andere Modul-Core-Aufruf (Akzeptanzkriterium 2/3, "authentifiziert
+// ueber das in API-02 definierte Service-Credential").
+type Handler struct {
+	auth  CredentialAuthenticator
+	audit AuditRecorder
+	usage UsageIncrementer
+}
+
+func NewHandler(auth CredentialAuthenticator, audit AuditRecorder, usage UsageIncrementer) *Handler {
+	return &Handler{auth: auth, audit: audit, usage: usage}
+}
+
+type credentialHeader struct {
+	ClientID string `json:"client_id"`
+	Secret   string `json:"secret"`
+}
+
+func (h *Handler) authenticate(w http.ResponseWriter, r *http.Request) bool {
+	clientID := r.Header.Get("X-Nexarch-Client-Id")
+	secret := r.Header.Get("X-Nexarch-Client-Secret")
+	_, ok, err := h.auth.Authenticate(r.Context(), clientID, secret)
+	if err != nil || !ok {
+		http.Error(w, "ungueltiges service-credential", http.StatusUnauthorized)
+		return false
+	}
+	return true
+}
+
+type auditEventDTO struct {
+	TenantSlug string         `json:"tenant_slug"`
+	Actor      string         `json:"actor"`
+	Action     string         `json:"action"`
+	Target     string         `json:"target"`
+	Metadata   map[string]any `json:"metadata"`
+	OccurredAt time.Time      `json:"occurred_at"`
+}
+
+// AuditHandler nimmt EINE Liste gepufferter Audit-Events entgegen und
+// schreibt sie SEQUENZIELL in der gegebenen Reihenfolge fort
+// (Akzeptanzkriterium 2 / Pruefung 1: Vollstaendigkeit + Reihenfolge).
+// Bricht die Verarbeitung bei einem Fehler ab und meldet, wie viele Events
+// bereits sicher geschrieben wurden — der Aufrufer (Worker) entfernt aus
+// seinem lokalen Puffer NUR die bestaetigt geschriebenen Events.
+func (h *Handler) AuditHandler(w http.ResponseWriter, r *http.Request) {
+	if !h.authenticate(w, r) {
+		return
+	}
+	var events []auditEventDTO
+	if err := json.NewDecoder(r.Body).Decode(&events); err != nil {
+		http.Error(w, "ungueltiger anfrage-koerper", http.StatusBadRequest)
+		return
+	}
+
+	written := 0
+	for _, e := range events {
+		if err := h.audit.Record(r.Context(), e.TenantSlug, e.Actor, e.Action, e.Target, e.Metadata, e.OccurredAt); err != nil {
+			break
+		}
+		written++
+	}
+
+	writeJSON(w, map[string]int{"written": written})
+}
+
+type usageDeltaDTO struct {
+	TenantSlug string `json:"tenant_slug"`
+	Metric     string `json:"metric"`
+	Delta      int64  `json:"delta"`
+}
+
+// UsageHandler wendet JEDES gepufferte Delta GENAU EINMAL an
+// (Akzeptanzkriterium 3 / Pruefung 2: keine Doppelzaehlung) — der Aufrufer
+// entfernt aus seinem lokalen Puffer nur die bestaetigt uebernommenen Deltas.
+func (h *Handler) UsageHandler(w http.ResponseWriter, r *http.Request) {
+	if !h.authenticate(w, r) {
+		return
+	}
+	var deltas []usageDeltaDTO
+	if err := json.NewDecoder(r.Body).Decode(&deltas); err != nil {
+		http.Error(w, "ungueltiger anfrage-koerper", http.StatusBadRequest)
+		return
+	}
+
+	applied := 0
+	for _, d := range deltas {
+		if err := h.usage.Increment(r.Context(), d.TenantSlug, d.Metric, d.Delta); err != nil {
+			break
+		}
+		applied++
+	}
+
+	writeJSON(w, map[string]int{"applied": applied})
+}
+
+func writeJSON(w http.ResponseWriter, body any) {
+	w.Header().Set("Content-Type", "application/json")
+	_ = json.NewEncoder(w).Encode(body)
+}
@@ -0,0 +1,320 @@
+package resync
+
+import (
+	"context"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"sync"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/moduleregistry"
+)
+
+// fakeAudit steht fuer internal/audit.Log (AUD-01, nicht Abhaengigkeit
+// dieser Kachel) — zeichnet Aufrufe in Empfangsreihenfolge auf, damit
+// Vollstaendigkeit UND Reihenfolge geprueft werden koennen.
+type fakeAudit struct {
+	mu     sync.Mutex
+	events []auditEventDTO
+	failAt int // -1 = nie fehlschlagen; sonst: ab diesem Index (0-basiert) schlaegt Record fehl
+}
+
+func (f *fakeAudit) Record(ctx context.Context, tenantSlug, actor, action, target string, metadata map[string]any, occurredAt time.Time) error {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	if f.failAt >= 0 && len(f.events) == f.failAt {
+		return fmt.Errorf("simulierter core-ausfall waehrend der nachlieferung")
+	}
+	f.events = append(f.events, auditEventDTO{TenantSlug: tenantSlug, Actor: actor, Action: action, Target: target, Metadata: metadata, OccurredAt: occurredAt})
+	return nil
+}
+
+// fakeUsage steht fuer internal/usage.Store (LIC-03, nicht Abhaengigkeit
+// dieser Kachel) — summiert Deltas wie der echte Store.
+type fakeUsage struct {
+	mu     sync.Mutex
+	totals map[string]int64
+}
+
+func newFakeUsage() *fakeUsage { return &fakeUsage{totals: map[string]int64{}} }
+
+func (f *fakeUsage) Increment(ctx context.Context, tenantSlug, metric string, delta int64) error {
+	f.mu.Lock()
+	defer f.mu.Unlock()
+	f.totals[tenantSlug+"|"+metric] += delta
+	return nil
+}
+
+func setupTest(t *testing.T) (*Buffer, *pgxpool.Pool, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS resync_audit_buffer (
+			id BIGSERIAL PRIMARY KEY, seq BIGSERIAL, tenant_slug TEXT NOT NULL, actor TEXT NOT NULL,
+			action TEXT NOT NULL, target TEXT NOT NULL DEFAULT '', metadata JSONB NOT NULL DEFAULT '{}',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS resync_usage_buffer (
+			id BIGSERIAL PRIMARY KEY, seq BIGSERIAL, tenant_slug TEXT NOT NULL, metric TEXT NOT NULL,
+			delta BIGINT NOT NULL, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS feature_flags (
+			key TEXT PRIMARY KEY, enabled BOOLEAN NOT NULL DEFAULT false,
+			rollout_percentage INT NOT NULL DEFAULT 0, target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS modules (
+			name TEXT PRIMARY KEY, version TEXT NOT NULL CHECK (version <> ''),
+			required_flags TEXT[] NOT NULL DEFAULT '{}', registered_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS module_credentials (
+			module_name TEXT PRIMARY KEY REFERENCES modules(name),
+			client_id TEXT NOT NULL UNIQUE, secret_hash BYTEA NOT NULL,
+			issued_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() { pool.Close() }
+	return NewBuffer(pool), pool, cleanup
+}
+
+func uniqueModuleName() string {
+	return fmt.Sprintf("resync-test-%d", time.Now().UnixNano())
+}
+
+// setupModuleCredential registriert ein echtes Modul + Service-Credential
+// ueber internal/moduleregistry (API-02) — dieselbe Authentifizierung wird
+// vom Handler tatsaechlich geprueft, kein Mock.
+func setupModuleCredential(t *testing.T, pool *pgxpool.Pool) (registry *moduleregistry.Registry, clientID, secret string) {
+	t.Helper()
+	ctx := context.Background()
+	flagService := flag.NewService(flag.NewStore(pool), 10*time.Millisecond)
+	registry = moduleregistry.NewRegistry(pool, flagService)
+	name := uniqueModuleName()
+	if _, err := registry.Register(ctx, name, "1.0.0", nil); err != nil {
+		t.Fatalf("modul registrieren: %v", err)
+	}
+	clientID, secret, err := registry.Provision(ctx, name)
+	if err != nil {
+		t.Fatalf("credential provisionieren: %v", err)
+	}
+	return registry, clientID, secret
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: waehrend eines simulierten Ausfalls
+// lokal gepufferte Audit-Events sind nach Wiederanlauf vollstaendig und in
+// korrekter Reihenfolge in Core's Audit-Log vorhanden.
+func TestFlushAll_DeliversBufferedAuditEventsCompleteAndInOrder(t *testing.T) {
+	buffer, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	registry, clientID, secret := setupModuleCredential(t, pool)
+
+	tenantSlug := "acme"
+	// Ereignisse "waehrend core down" lokal puffern.
+	actions := []string{"login", "upload", "delete", "logout"}
+	for _, action := range actions {
+		if err := buffer.EnqueueAuditEvent(ctx, tenantSlug, "user-1", action, "res-1", nil); err != nil {
+			t.Fatalf("enqueue %s: %v", action, err)
+		}
+	}
+
+	audit := &fakeAudit{failAt: -1}
+	usage := newFakeUsage()
+	handler := NewHandler(registry, audit, usage)
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/internal/resync/audit", handler.AuditHandler)
+	mux.HandleFunc("/internal/resync/usage", handler.UsageHandler)
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+	server := httptest.NewServer(mux)
+	defer server.Close()
+
+	client := NewCoreClient(server.URL, clientID, secret)
+	worker := NewWorker(buffer, client)
+
+	if err := worker.FlushAll(ctx); err != nil {
+		t.Fatalf("flushall: %v", err)
+	}
+
+	audit.mu.Lock()
+	defer audit.mu.Unlock()
+	if len(audit.events) != len(actions) {
+		t.Fatalf("erwartet %d zugestellte events, habe %d", len(actions), len(audit.events))
+	}
+	for i, e := range audit.events {
+		if e.Action != actions[i] {
+			t.Fatalf("reihenfolge falsch: position %d = %q, want %q", i, e.Action, actions[i])
+		}
+	}
+
+	// Puffer muss nach bestaetigter Zustellung leer sein.
+	remaining, err := buffer.PendingAuditEvents(ctx)
+	if err != nil {
+		t.Fatalf("pending: %v", err)
+	}
+	if len(remaining) != 0 {
+		t.Fatalf("erwartet leeren puffer nach bestaetigter zustellung, habe %d verbleibende", len(remaining))
+	}
+}
+
+// Bekannter-Fehler-Praevention: bricht die Zustellung waehrend der
+// Nachlieferung erneut ab (Core faellt wieder aus), bleiben die NICHT
+// bestaetigten Events sicher im Puffer erhalten statt verloren zu gehen.
+func TestFlushAll_KeepsUnconfirmedEventsInBufferOnPartialFailure(t *testing.T) {
+	buffer, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	registry, clientID, secret := setupModuleCredential(t, pool)
+
+	for i := 0; i < 5; i++ {
+		if err := buffer.EnqueueAuditEvent(ctx, "acme", "user-1", fmt.Sprintf("action-%d", i), "", nil); err != nil {
+			t.Fatalf("enqueue %d: %v", i, err)
+		}
+	}
+
+	// Core-Fake schlaegt AB dem 3. Event fehl -> simuliert erneuten Ausfall
+	// mitten in der Nachlieferung.
+	audit := &fakeAudit{failAt: 3}
+	handler := NewHandler(registry, audit, newFakeUsage())
+	mux := http.NewServeMux()
+	mux.HandleFunc("/internal/resync/audit", handler.AuditHandler)
+	mux.HandleFunc("/internal/resync/usage", handler.UsageHandler)
+	server := httptest.NewServer(mux)
+	defer server.Close()
+
+	client := NewCoreClient(server.URL, clientID, secret)
+	worker := NewWorker(buffer, client)
+
+	if err := worker.FlushAll(ctx); err == nil {
+		t.Fatal("erwartet fehler, da core nur teilweise bestaetigt hat")
+	}
+
+	remaining, err := buffer.PendingAuditEvents(ctx)
+	if err != nil {
+		t.Fatalf("pending: %v", err)
+	}
+	if len(remaining) != 2 {
+		t.Fatalf("erwartet 2 verbleibende (nicht bestaetigte) events im puffer, habe %d", len(remaining))
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: Nutzungszaehler-Differenz aus der
+// Ausfallzeit wird korrekt nachgebucht, ein wiederholter (fehlerhafter)
+// Flush-Versuch fuehrt NICHT zu Doppelzaehlung, weil bereits bestaetigte
+// Deltas aus dem Puffer entfernt sind.
+func TestFlushAll_AppliesUsageDeltasWithoutDoubleCounting(t *testing.T) {
+	buffer, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	registry, clientID, secret := setupModuleCredential(t, pool)
+
+	deltas := []int64{3, 5, 2}
+	var want int64
+	for _, d := range deltas {
+		want += d
+		if err := buffer.EnqueueUsageDelta(ctx, "acme", "api_calls", d); err != nil {
+			t.Fatalf("enqueue delta %d: %v", d, err)
+		}
+	}
+
+	usage := newFakeUsage()
+	handler := NewHandler(registry, &fakeAudit{failAt: -1}, usage)
+	mux := http.NewServeMux()
+	mux.HandleFunc("/internal/resync/audit", handler.AuditHandler)
+	mux.HandleFunc("/internal/resync/usage", handler.UsageHandler)
+	server := httptest.NewServer(mux)
+	defer server.Close()
+
+	client := NewCoreClient(server.URL, clientID, secret)
+	worker := NewWorker(buffer, client)
+
+	if err := worker.FlushAll(ctx); err != nil {
+		t.Fatalf("flushall 1: %v", err)
+	}
+
+	usage.mu.Lock()
+	got := usage.totals["acme|api_calls"]
+	usage.mu.Unlock()
+	if got != want {
+		t.Fatalf("nutzungsstand nach nachbuchung = %d, want %d", got, want)
+	}
+
+	// Ein zweiter Flush-Versuch (z.B. redundanter Retry) darf NICHTS mehr
+	// nachbuchen, da der Puffer bereits geleert wurde.
+	if err := worker.FlushAll(ctx); err != nil {
+		t.Fatalf("flushall 2: %v", err)
+	}
+	usage.mu.Lock()
+	got2 := usage.totals["acme|api_calls"]
+	usage.mu.Unlock()
+	if got2 != want {
+		t.Fatalf("nutzungsstand nach redundantem zweiten flush = %d, want unveraendert %d (keine doppelzaehlung)", got2, want)
+	}
+}
+
+// Akzeptanzkriterium 1 + Pruefung 3: bei erkannter Core-Wiedererreichbarkeit
+// wird der Cache SOFORT invalidiert (naechster Zugriff refetcht), nicht
+// erst nach TTL-Ablauf — Latenz wird gemessen und liegt weit unter einer
+// langen TTL.
+func TestCheckAndSync_InvalidatesCacheImmediatelyOnRecovery(t *testing.T) {
+	buffer, pool, cleanup := setupTest(t)
+	defer cleanup()
+	registry, clientID, secret := setupModuleCredential(t, pool)
+	_ = registry
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+	server := httptest.NewServer(mux)
+	defer server.Close()
+
+	client := NewCoreClient(server.URL, clientID, secret)
+	worker := NewWorker(buffer, client)
+
+	invalidated := false
+	var mu sync.Mutex
+	worker.OnReachable(func() {
+		mu.Lock()
+		invalidated = true
+		mu.Unlock()
+	})
+
+	start := time.Now()
+	becameReachable, err := worker.CheckAndSync(context.Background())
+	elapsed := time.Since(start)
+	if err != nil {
+		t.Fatalf("checkandsync: %v", err)
+	}
+	if !becameReachable {
+		t.Fatal("erwartet erkannten uebergang zu 'erreichbar' beim ersten erfolgreichen check")
+	}
+
+	mu.Lock()
+	defer mu.Unlock()
+	if !invalidated {
+		t.Fatal("erwartet sofortigen cache-invalidierungs-callback bei core-wiedererreichbarkeit")
+	}
+	// Zielwert: deutlich unter einer typischen TTL (z.B. 5s beim
+	// Feature-Flag-Cache, LIC-02) — hier im Millisekundenbereich, da rein
+	// lokal ohne Netzwerk-Overhead.
+	if elapsed > time.Second {
+		t.Fatalf("cache-invalidierung brauchte %s, erwartet deutlich unter 1s", elapsed)
+	}
+}
@@ -0,0 +1,220 @@
+package resync
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"fmt"
+	"net/http"
+	"time"
+)
+
+// CoreClient ist der modul-seitige HTTP-Client fuer die Nachlieferung,
+// authentifiziert ueber dasselbe Service-Credential wie jeder andere
+// Modul-Core-Aufruf (API-02).
+type CoreClient struct {
+	BaseURL  string
+	ClientID string
+	Secret   string
+	HTTP     *http.Client
+}
+
+func NewCoreClient(baseURL, clientID, secret string) *CoreClient {
+	return &CoreClient{BaseURL: baseURL, ClientID: clientID, Secret: secret, HTTP: &http.Client{Timeout: 5 * time.Second}}
+}
+
+func (c *CoreClient) post(ctx context.Context, path string, body any) (*http.Response, error) {
+	payload, err := json.Marshal(body)
+	if err != nil {
+		return nil, fmt.Errorf("payload serialisieren: %w", err)
+	}
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.BaseURL+path, bytes.NewReader(payload))
+	if err != nil {
+		return nil, err
+	}
+	req.Header.Set("Content-Type", "application/json")
+	req.Header.Set("X-Nexarch-Client-Id", c.ClientID)
+	req.Header.Set("X-Nexarch-Client-Secret", c.Secret)
+	return c.HTTP.Do(req)
+}
+
+// HealthCheck prueft, ob Core erreichbar ist — dieselbe Konvention wie
+// internal/health (OPS-01): HTTP 200 auf einem Health-Endpunkt.
+func (c *CoreClient) HealthCheck(ctx context.Context) bool {
+	req, err := http.NewRequestWithContext(ctx, http.MethodGet, c.BaseURL+"/healthz", nil)
+	if err != nil {
+		return false
+	}
+	resp, err := c.HTTP.Do(req)
+	if err != nil {
+		return false
+	}
+	defer resp.Body.Close()
+	return resp.StatusCode == http.StatusOK
+}
+
+// Worker erkennt Core-Wiedererreichbarkeit und stoesst DANN sofort
+// (Akzeptanzkriterium 1) sowohl registrierte Cache-Invalidierungen als auch
+// das Nachliefern des lokalen Puffers an.
+type Worker struct {
+	buffer      *Buffer
+	client      *CoreClient
+	onReachable []func()
+	wasDown     bool
+}
+
+func NewWorker(buffer *Buffer, client *CoreClient) *Worker {
+	return &Worker{buffer: buffer, client: client, wasDown: true} // Start pessimistisch: erster erfolgreicher Check zaehlt als "Wiedererreichbarkeit".
+}
+
+// OnReachable registriert einen Callback, der bei jeder erkannten
+// Core-Wiedererreichbarkeit sofort ausgefuehrt wird — z.B.
+// moduletrust.StaleCache[T].Invalidate, damit der naechste Zugriff sofort
+// neu abruft statt auf TTL-Ablauf zu warten (Akzeptanzkriterium 1).
+func (w *Worker) OnReachable(fn func()) {
+	w.onReachable = append(w.onReachable, fn)
+}
+
+// CheckAndSync fuehrt EINEN Zyklus aus: Erreichbarkeit pruefen, bei
+// erkanntem UEBERGANG "nicht erreichbar -> erreichbar" sofort die
+// registrierten Callbacks ausloesen und den Puffer nachliefern. Gibt
+// zurueck, ob ein Wiederanlauf in diesem Aufruf erkannt wurde (fuer
+// Latenzmessung in Tests, Pruefung 3).
+func (w *Worker) CheckAndSync(ctx context.Context) (becameReachable bool, err error) {
+	reachable := w.client.HealthCheck(ctx)
+	if !reachable {
+		w.wasDown = true
+		return false, nil
+	}
+
+	justRecovered := w.wasDown
+	w.wasDown = false
+	if !justRecovered {
+		return false, nil
+	}
+
+	for _, fn := range w.onReachable {
+		fn()
+	}
+
+	if err := w.FlushAll(ctx); err != nil {
+		return true, err
+	}
+	return true, nil
+}
+
+// FlushAll liefert ZUERST alle gepufferten Audit-Events (in Reihenfolge),
+// DANN alle gepufferten Nutzungsdeltas nach. Jedes Element wird aus dem
+// lokalen Puffer NUR entfernt, wenn Core es bestaetigt hat — bricht die
+// Uebertragung vorzeitig ab (Core faellt waehrend der Nachlieferung erneut
+// aus), bleibt der Rest sicher im Postgres-Puffer erhalten
+// (Akzeptanzkriterium 2/3, "Bekannte Fehler vermeiden").
+func (w *Worker) FlushAll(ctx context.Context) error {
+	if err := w.flushAuditEvents(ctx); err != nil {
+		return err
+	}
+	return w.flushUsageDeltas(ctx)
+}
+
+func (w *Worker) flushAuditEvents(ctx context.Context) error {
+	events, err := w.buffer.PendingAuditEvents(ctx)
+	if err != nil {
+		return err
+	}
+	if len(events) == 0 {
+		return nil
+	}
+
+	dtos := make([]auditEventDTO, len(events))
+	for i, e := range events {
+		dtos[i] = auditEventDTO{
+			TenantSlug: e.TenantSlug, Actor: e.Actor, Action: e.Action, Target: e.Target,
+			Metadata: e.Metadata, OccurredAt: e.CreatedAt,
+		}
+	}
+
+	resp, err := w.client.post(ctx, "/internal/resync/audit", dtos)
+	if err != nil {
+		return fmt.Errorf("audit-nachlieferung: %w", err)
+	}
+	defer resp.Body.Close()
+	if resp.StatusCode != http.StatusOK {
+		return fmt.Errorf("audit-nachlieferung: unerwarteter status %d", resp.StatusCode)
+	}
+
+	var ack struct {
+		Written int `json:"written"`
+	}
+	if err := json.NewDecoder(resp.Body).Decode(&ack); err != nil {
+		return fmt.Errorf("audit-bestaetigung lesen: %w", err)
+	}
+
+	// NUR die von Core bestaetigt geschriebenen Events entfernen — sie sind
+	// nach PendingAuditEvents-Reihenfolge sortiert, die ersten `Written`
+	// Eintraege entsprechen also genau den bestaetigten.
+	for i := 0; i < ack.Written; i++ {
+		if err := w.buffer.RemoveAuditEvent(ctx, events[i].ID); err != nil {
+			return fmt.Errorf("bestaetigtes audit-event aus puffer entfernen: %w", err)
+		}
+	}
+	if ack.Written < len(events) {
+		return fmt.Errorf("core hat nur %d von %d audit-events bestaetigt", ack.Written, len(events))
+	}
+	return nil
+}
+
+func (w *Worker) flushUsageDeltas(ctx context.Context) error {
+	deltas, err := w.buffer.PendingUsageDeltas(ctx)
+	if err != nil {
+		return err
+	}
+	if len(deltas) == 0 {
+		return nil
+	}
+
+	dtos := make([]usageDeltaDTO, len(deltas))
+	for i, d := range deltas {
+		dtos[i] = usageDeltaDTO{TenantSlug: d.TenantSlug, Metric: d.Metric, Delta: d.Delta}
+	}
+
+	resp, err := w.client.post(ctx, "/internal/resync/usage", dtos)
+	if err != nil {
+		return fmt.Errorf("nutzungs-nachlieferung: %w", err)
+	}
+	defer resp.Body.Close()
+	if resp.StatusCode != http.StatusOK {
+		return fmt.Errorf("nutzungs-nachlieferung: unerwarteter status %d", resp.StatusCode)
+	}
+
+	var ack struct {
+		Applied int `json:"applied"`
+	}
+	if err := json.NewDecoder(resp.Body).Decode(&ack); err != nil {
+		return fmt.Errorf("nutzungs-bestaetigung lesen: %w", err)
+	}
+
+	for i := 0; i < ack.Applied; i++ {
+		if err := w.buffer.RemoveUsageDelta(ctx, deltas[i].ID); err != nil {
+			return fmt.Errorf("bestaetigtes nutzungsdelta aus puffer entfernen: %w", err)
+		}
+	}
+	if ack.Applied < len(deltas) {
+		return fmt.Errorf("core hat nur %d von %d nutzungsdeltas bestaetigt", ack.Applied, len(deltas))
+	}
+	return nil
+}
+
+// Run fuehrt CheckAndSync in festen Abstaenden aus — die "kurze, definierte
+// Zeitspanne" aus Akzeptanzkriterium 1 ist dieses Poll-Intervall.
+func (w *Worker) Run(ctx context.Context, interval time.Duration) {
+	ticker := time.NewTicker(interval)
+	defer ticker.Stop()
+	for {
+		select {
+		case <-ctx.Done():
+			return
+		case <-ticker.C:
+			_, _ = w.CheckAndSync(ctx)
+		}
+	}
+}
@@ -1,2 +0,0 @@
-DROP TABLE IF EXISTS config_value_history;
-DROP TABLE IF EXISTS config_values;
@@ -1,23 +0,0 @@
-- Zentraler Konfigurationsdienst (CFG-01, siehe core-kanban/tickets/CFG-01.md).
-- scope = 'global' fuer globale Defaults, sonst der Tenant-Slug. config_values
-- haelt den AKTUELLEN Stand je (key, scope); config_value_history haelt JEDE
-- Aenderung fest (Akzeptanzkriterium 2: versioniert nachvollziehbar).
-CREATE TABLE config_values (
-    key        TEXT NOT NULL,
-    scope      TEXT NOT NULL CHECK (scope <> ''),
-    value      TEXT NOT NULL,
-    version    INT NOT NULL,
-    updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-    PRIMARY KEY (key, scope)
-);
-
-CREATE TABLE config_value_history (
-    id         UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    key        TEXT NOT NULL,
-    scope      TEXT NOT NULL,
-    value      TEXT NOT NULL,
-    version    INT NOT NULL,
-    changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX config_value_history_key_scope_idx ON config_value_history (key, scope, version);
@@ -0,0 +1 @@
+DROP TABLE IF EXISTS feature_flags;
@@ -0,0 +1,10 @@
+-- Feature-Flags zentral je Mandant/Zielgruppe (LIC-02, siehe core-kanban/tickets/LIC-02.md).
+-- Lebt in der Registry-DB, nicht pro Tenant-Datenbank — Flags sind eine
+-- Core-weite Konfiguration, keine Mandanten-Geschaeftsdaten.
+CREATE TABLE feature_flags (
+    key                 TEXT PRIMARY KEY,
+    enabled             BOOLEAN NOT NULL DEFAULT false,
+    rollout_percentage  INT NOT NULL DEFAULT 0 CHECK (rollout_percentage BETWEEN 0 AND 100),
+    target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+    updated_at          TIMESTAMPTZ NOT NULL DEFAULT now()
+);
@@ -0,0 +1,2 @@
+DROP TABLE IF EXISTS module_credentials;
+DROP TABLE IF EXISTS modules;
@@ -0,0 +1,18 @@
+-- Modul-Registry & Aktivierungspruefung (API-02, siehe core-kanban/tickets/API-02.md).
+CREATE TABLE modules (
+    name           TEXT PRIMARY KEY,
+    version        TEXT NOT NULL CHECK (version <> ''),
+    required_flags TEXT[] NOT NULL DEFAULT '{}',
+    registered_at  TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+-- Service-Credential je Modul-Instanz, bei Provisionierung ausgestellt
+-- (Akzeptanzkriterium 4). secret_hash enthaelt NIEMALS das Secret im
+-- Klartext, nur dessen SHA-256-Hash (Timing-safe-Vergleich beim Login,
+-- Referenzmuster siehe AUD-02).
+CREATE TABLE module_credentials (
+    module_name TEXT PRIMARY KEY REFERENCES modules(name),
+    client_id   TEXT NOT NULL UNIQUE,
+    secret_hash BYTEA NOT NULL,
+    issued_at   TIMESTAMPTZ NOT NULL DEFAULT now()
+);
@@ -1 +0,0 @@
-DROP TABLE IF EXISTS notification_jobs;
@@ -1,20 +0,0 @@
-- Benachrichtigungs-Dispatcher-Warteschlange (CFG-02, siehe
-- core-kanban/tickets/CFG-02.md). Postgres-basiert statt Redis/AMQP
-- (Projekt-Konvention, siehe nexarch-state.json techstack.job_queue) —
-- Zeilen ueberleben einen Neustart des Dispatcher-Prozesses unveraendert
-- (Akzeptanzkriterium 3).
-CREATE TABLE notification_jobs (
-    id              UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    channel         TEXT NOT NULL,
-    recipient       TEXT NOT NULL,
-    payload         JSONB NOT NULL DEFAULT '{}'::jsonb,
-    status          TEXT NOT NULL DEFAULT 'pending' CHECK (status IN ('pending', 'sent', 'failed')),
-    attempts        INT NOT NULL DEFAULT 0,
-    max_attempts    INT NOT NULL DEFAULT 5,
-    next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-    last_error      TEXT,
-    created_at      TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at      TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX notification_jobs_due_idx ON notification_jobs (status, next_attempt_at);
@@ -1,2 +0,0 @@
-DROP TABLE IF EXISTS in_app_notifications;
-DROP TABLE IF EXISTS notification_templates;
@@ -1,28 +0,0 @@
-- Benachrichtigungs-Kanaele: Vorlagen (E-Mail) + In-App-Nachrichten
-- (CFG-03, siehe core-kanban/tickets/CFG-03.md). Beide leben in der
-- Registry-DB, analog zu feature_flags/config_values — modulübergreifende
-- Konfiguration/UI-Zustand, keine Mandanten-Geschaeftsdaten.
-
-- tenant_slug = 'global' ist der Fallback-Wert, wenn ein Tenant keine
-- eigene Vorlage gesetzt hat (Akzeptanzkriterium 3: Vorlagen pro Tenant
-- anpassbar, mit sinnvollem Default).
-CREATE TABLE notification_templates (
-    tenant_slug TEXT NOT NULL,
-    key         TEXT NOT NULL,
-    subject     TEXT NOT NULL,
-    body        TEXT NOT NULL,
-    updated_at  TIMESTAMPTZ NOT NULL DEFAULT now(),
-    PRIMARY KEY (tenant_slug, key)
-);
-
-CREATE TABLE in_app_notifications (
-    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    tenant_slug TEXT NOT NULL,
-    user_id     TEXT NOT NULL,
-    title       TEXT NOT NULL,
-    body        TEXT NOT NULL,
-    read_at     TIMESTAMPTZ,
-    created_at  TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX in_app_notifications_user_idx ON in_app_notifications (tenant_slug, user_id, created_at);
@@ -0,0 +1,2 @@
+DROP TABLE resync_usage_buffer;
+DROP TABLE resync_audit_buffer;
@@ -0,0 +1,22 @@
+-- Wiederanlauf & Nachsynchronisierung nach Core-Ausfall (API-06, siehe
+-- core-kanban/tickets/API-06.md) — lokale, PERSISTENTE Pufferqueue (kein
+-- In-Memory) fuer Audit-Events und Nutzungszaehler-Deltas eines Moduls.
+CREATE TABLE resync_audit_buffer (
+    id          BIGSERIAL PRIMARY KEY,
+    seq         BIGSERIAL,
+    tenant_slug TEXT NOT NULL,
+    actor       TEXT NOT NULL,
+    action      TEXT NOT NULL,
+    target      TEXT NOT NULL DEFAULT '',
+    metadata    JSONB NOT NULL DEFAULT '{}',
+    created_at  TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+CREATE TABLE resync_usage_buffer (
+    id          BIGSERIAL PRIMARY KEY,
+    seq         BIGSERIAL,
+    tenant_slug TEXT NOT NULL,
+    metric      TEXT NOT NULL,
+    delta       BIGINT NOT NULL,
+    created_at  TIMESTAMPTZ NOT NULL DEFAULT now()
+);
@@ -1,11 +1,23 @@
 #!/usr/bin/env bash
+# Setzt die nexarch-Testumgebung zurueck: loescht die geteilte
+# Registry-Tabelle "tenants" in der postgres-Wartungsdatenbank sowie alle
+# tenant_*-Datenbanken. Noetig, weil verschiedene Feature-Branches
+# unterschiedliche Registry-Schemata erwarten, aber dieselbe physische
+# Postgres-Instanz auf dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
+#
+# Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/reset-test-env.sh
 set -euo pipefail
+
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
 ROLE="nexarch_test"
+
 export PGPASSWORD="$PASS"
+
 psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS tenants CASCADE;"
+
 dbs=$(psql -h localhost -U "$ROLE" -d postgres -tAc "SELECT datname FROM pg_database WHERE datname LIKE 'tenant\_%' ESCAPE '\'")
 for db in $dbs; do
 	psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP DATABASE IF EXISTS \"${db}\";"
 done
+
 echo "Testumgebung zurueckgesetzt: registry-tabelle + $(echo "$dbs" | grep -c . || true) tenant-datenbank(en) entfernt."
@@ -1,12 +1,24 @@
 #!/usr/bin/env bash
+# Ein-Kommando-Pruefung fuer den aktuellen Code-Stand auf dem Testhost:
+# Registry+Tenant-DBs zuruecksetzen, dann build/vet/test in einem Rutsch.
+# -p 1 ist Pflicht, da mehrere Pakete dieselbe physische Registry-Tabelle auf
+# dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
+#
+# Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/run-checks.sh
 set -euo pipefail
+
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
 cd "$(dirname "$0")/.."
+
 NEXARCH_TEST_DB_PASSWORD="$PASS" bash scripts/reset-test-env.sh
+
 export TEST_ADMIN_DSN="postgresql://nexarch_test:${PASS}@localhost:5432/postgres?sslmode=disable"
+
 echo "== go build =="
 go build ./...
+
 echo "== go vet =="
 go vet ./...
+
 echo "== go test (-p 1) =="
 go test ./... -p 1 -count=1
Author	SHA1	Message	Date
sysops	ec9bb27bb3	API-06: go.sum/go.mod aktualisieren (golang-jwt/jwt/v5 fuer moduletrust)	2026-08-28 09:22:56 +02:00
sysops	0fd9856b10	API-06: wiederanlauf-nachsynchronisierung-nach-core-ausfall (postgres-puffer, service-credential, sofort-invalidate)	2026-08-28 09:22:08 +02:00
sysopsandClaude Sonnet 5	b23cd1961f	API-02: modul-registry-aktivierungspruefung internal/moduleregistry: Registry.Register traegt Fachmodule mit Name, Version und benoetigten Feature-Flags ein (Akzeptanzkriterium 1), fehlende Pflichtangaben werden abgewiesen. IsActive kombiniert Registrierung + LIC-02 Feature-Flag-Auswertung (ALLE benoetigten Flags muessen fuer den Tenant aktiv sein) — ein nicht registriertes Modul ist nie aktiv. List liefert alle Module fuer Statusseite/Lizenzoberflaeche (Akzeptanzkriterium 3). RequireActiveModule ist die zentrale Durchsetzungs-Middleware (Casbin- Prinzip): weist Anfragen an ein deaktiviertes Modul ab, BEVOR der Modul-Handler ueberhaupt aufgerufen wird (Akzeptanzkriterium 2) — Pruefung per Test belegt, dass der Handler bei Deaktivierung nachweislich nicht erreicht wird. Service-Credentials (Akzeptanzkriterium 4): Registry.Provision stellt pro Modul-Instanz Client-ID + Secret aus, gespeichert wird nur der SHA-256-Hash des Secrets. Registry.Authenticate vergleicht timing-safe (dieselbe subtle.ConstantTimeCompare-Referenzimplementierung wie AUD-02). RequireServiceCredential-Middleware liest X-Client-Id/X-Client-Secret und weist Aufrufe ohne gueltiges Credential mit 401 ab, bevor der Core-seitige Endpunkt (z.B. Audit-Nachlieferung, Nutzungsmeldung) erreicht wird. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Anfrage an deaktiviertes Modul nachweislich vor Modul-Logik abgewiesen — TestRequireActiveModule_BlocksBeforeHandler: handlerReached bleibt false bei 403, wird true erst nach Aktivierung bei 200. PASS. 2. Registrierung mit fehlenden Pflichtangaben abgewiesen — TestRegister_RejectsMissingFields (leerer Name, leere Version). PASS. 3. Registry-Abfrage liefert konsistente Daten nach Aktivierung/Deaktivierung — TestIsActive_ReflectsFlagStateConsistently: aus/an/aus-Zyklus, IsActive folgt dem Flag-Zustand korrekt. PASS. 4. Aufruf mit ungueltigem/fehlendem Service-Credential abgewiesen, mit gueltigem angenommen — TestRequireServiceCredential_RejectsInvalidAcceptsValid und TestProvisionAndAuthenticate (falsches Secret, unbekannte Client-ID, korrektes Credential). PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-27 21:17:50 +02:00
sysopsandClaude Sonnet 5	4a30345e07	LIC-02: feature-flag-service-je-tenant internal/flag: Store (Verwaltung) + Service (Auswertung mit TTL-Cache, Default 5s) — Unleash-Prinzip Flag-Verwaltung vs. Flag-Auswertung getrennt, als Kernfunktion des Core-Dienstes selbst statt separater Infrastruktur. evaluate() wendet drei Strategien in fester Reihenfolge an: global an/aus, Tenant-Zielgruppe, deterministischer Prozentsatz-Rollout (FNV-Hash aus Tenant+Key, stabil pro Tenant). IsEnabled liefert IMMER nur bool (kein Fehlerwert) — ein nicht erreichbarer Flag-Dienst kann damit keinen Aufrufer zum Absturz bringen: bei DB-Fehler wird der zuletzt bekannte Cache-Stand verwendet, ohne jeglichen Stand faellt der Dienst sicher auf false zurueck. Service.Invalidate erzwingt sofortiges Neuladen fuer den Schreiber selbst, andere Instanzen sehen Aenderungen spaetestens nach der TTL (Akzeptanzkriterium 3, kein Neustart noetig). Bugfix waehrend Tests: Store.Set uebergab ein nil-TargetTenantSlugs-Slice als SQL NULL statt leerem Array (NOT-NULL-Verletzung) — auf leeres Slice normalisiert. Akzeptanzkriterium 4 (Deaktivierung loescht keine Daten): dieses Paket besitzt ausschliesslich die eigene feature_flags-Zeile, hat keinerlei Code-Pfad, der Modul-Geschaeftsdaten anfassen koennte — Loeschung bleibt strukturell der Archive-Retention-Engine vorbehalten. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Cache-Invalidierungszeit automatisiert gemessen — TestService_CacheInvalidationTiming: Aenderung wirksam nach 153ms bei TTL=150ms (innerhalb Ziel+Toleranz), vorher nachweislich noch alter Stand. PASS. 2. Zielgruppen-Strategie liefert erwartete Auswertung — TestService_TargetTenantStrategy / TestEvaluate_TargetTenantStrategy. PASS. 3. Ausfall des Flag-Dienstes fuehrt zu dokumentiertem Fallback, kein Absturz — TestService_FallsBackOnStoreFailure (mit recover()-Absicherung): Fallback auf Cache-Stand bzw. sicheres false bei komplett unerreichbarer DB, geloggt. PASS. 4. Modul-Deaktivierung/Reaktivierung ohne Datenverlust — architektonisch durch fehlenden Code-Pfad sichergestellt (siehe oben), zusaetzlich durch TestService_InvalidateForcesImmediateRefresh (Toggle aus/an bleibt konsistent nachvollziehbar) mitabgedeckt. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-27 19:19:59 +02:00