API-10: test-fix — rotatemasterkey-assertion nur fuer eigene test-tenants pruefen (geteilte test-db)

API-10: internal/apiserver-port wieder entfernen (ungenutzt, zieht internal/auth als fehlende abhaengigkeit nach)
API-10: master-key-verwaltung-tenant-schluesselhierarchie-kms-anbindung (envelope encryption, isolierte tenant-keks, rotation)
2026-08-28 10:04:51 +02:00 · 2026-08-28 10:03:41 +02:00 · 2026-08-28 10:03:27 +02:00 · 2026-08-27 21:17:50 +02:00 · 2026-08-27 19:19:59 +02:00
116 changed files with 1728 additions and 6087 deletions
@@ -1,4 +1,2 @@
 *.log
 .env
-web/*/node_modules/
-web/*/.next/
@@ -64,9 +64,6 @@ Keine Änderungen ermittelbar.
 ## 2026-08-27 17:28 – 17:29 (1m)
 **Beschreibung:** Claude Code Session
 **Projekt:** code
-## 2026-08-28 21:44 – 21:44 (0m)
-**Beschreibung:** Claude Code Session
-**Projekt:** nexarch

 ### Commits
 Keine Commits in dieser Session.
@@ -130,98 +127,5 @@ Keine Commits in dieser Session.
 - internal/config/config.go           | 29 +++++++++++++++++++++++++++++
 - internal/db/db.go                   | 11 +++++++++++
 - migrations/0001_tenant_registry.sql | 10 ++++++++++
- web/shl/README.md                   | 45 +++++++++++++++++++++++++++++++++++++++++++++
- web/shl/__tests__/Dialog.test.tsx   | 38 ++++++++++++++++++++++++++++++++++++++
- web/shl/__tests__/tokens.test.ts    | 39 +++++++++++++++++++++++++++++++++++++++
- web/shl/components/Dialog.tsx       | 88 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/components/FormElements.tsx | 98 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/components/Shell.tsx        | 62 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/components/Table.tsx        | 83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/components/Toast.tsx        | 67 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/i18n/i18n.tsx               | 75 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/index.ts                    | 25 +++++++++++++++++++++++++
- web/shl/package.json                | 23 +++++++++++++++++++++++
- web/shl/theme/ThemeProvider.tsx     | 81 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/tokens/tokens.ts            | 96 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/shl/tsconfig.json               | 18 ++++++++++++++++++
-
---
-## 2026-08-28 21:51 – 21:57 (5m)
-**Beschreibung:** Claude Code Session
-**Projekt:** nexarch
-
-### Commits
- 3c226da SHL-01: fix — vitest jsdom-environment + jest-dom-Setup (3 Dialog-Tests schlugen ohne DOM fehl)
-
-### Geänderte Dateien
- web/shl/package.json     | 2 ++
- web/shl/vitest.config.ts | 8 ++++++++
- web/shl/vitest.setup.ts  | 1 +
-
---
-## 2026-08-28 23:45 – 23:51 (5m)
-**Beschreibung:** Claude Code Session
-**Projekt:** code
-
-### Commits
- b27a640 CFG-04: benachrichtigungs-einstellungen-oberflaeche (handler+tests fuer notifyprefs, web/notifications next.js-frontend auf shl-01)
- 81ff8c1 Merge branch 'feature/shl-01-ui-shell-design-system-zentral' into feature/cfg-04-benachrichtigungs-einstellungen-oberflaeche
- 22b3349 Merge branch 'feature/iam-02-login-session-jwt-grundgeruest' into feature/cfg-04-benachrichtigungs-einstellungen-oberflaeche
- 2df3f93 CFG-04: backend teil 1 — internal/notifyprefs (praeferenz-store + enqueueifallowed-filter vor dispatcher)
-
-### Geänderte Dateien
- internal/notifyprefs/handler.go         |  83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/notifyprefs/handler_test.go    | 122 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/notifyprefs/prefs_test.go      | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/app/layout.tsx        |  30 ++++++++++++++++++++++++++++++
- web/notifications/app/overview/page.tsx |  43 +++++++++++++++++++++++++++++++++++++++++++
- web/notifications/app/page.tsx          |   5 +++++
- web/notifications/app/settings/page.tsx |  97 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/lib/api.ts            |  45 +++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/next.config.mjs       |   5 +++++
- web/notifications/package.json          |  22 ++++++++++++++++++++++
- web/notifications/tsconfig.json         |  21 +++++++++++++++++++++
-
---
-## 2026-08-28 23:51 – 23:51 (0m)
-**Beschreibung:** Claude Code Session
-**Projekt:** code
-
-### Commits
-Keine Commits in dieser Session.
-
-### Geänderte Dateien
- internal/notifyprefs/handler.go         |  83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/notifyprefs/handler_test.go    | 122 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/notifyprefs/prefs_test.go      | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/app/layout.tsx        |  30 ++++++++++++++++++++++++++++++
- web/notifications/app/overview/page.tsx |  43 +++++++++++++++++++++++++++++++++++++++++++
- web/notifications/app/page.tsx          |   5 +++++
- web/notifications/app/settings/page.tsx |  97 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/lib/api.ts            |  45 +++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/next.config.mjs       |   5 +++++
- web/notifications/package.json          |  22 ++++++++++++++++++++++
- web/notifications/tsconfig.json         |  21 +++++++++++++++++++++
-
---
-## 2026-08-28 23:52 – 23:52 (0m)
-**Beschreibung:** Claude Code Session
-**Projekt:** code
-
-### Commits
-Keine Commits in dieser Session.
-
-### Geänderte Dateien
- internal/notifyprefs/handler.go         |  83 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/notifyprefs/handler_test.go    | 122 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/notifyprefs/prefs_test.go      | 183 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/app/layout.tsx        |  30 ++++++++++++++++++++++++++++++
- web/notifications/app/overview/page.tsx |  43 +++++++++++++++++++++++++++++++++++++++++++
- web/notifications/app/page.tsx          |   5 +++++
- web/notifications/app/settings/page.tsx |  97 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/lib/api.ts            |  45 +++++++++++++++++++++++++++++++++++++++++++++
- web/notifications/next.config.mjs       |   5 +++++
- web/notifications/package.json          |  22 ++++++++++++++++++++++
- web/notifications/tsconfig.json         |  21 +++++++++++++++++++++

 ---
@@ -8,7 +8,6 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
 	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )

 func main() {
@@ -35,20 +34,12 @@ func main() {
 	provisioner := tenant.NewProvisioner(adminPool, registry, cfg.TenantDSNTemplate)
 	tenantHandler := tenant.NewHandler(provisioner)

-	// Superadmin-Konten leben mandantenuebergreifend in der Registry-DB.
-	// Tenant-User-CRUD (user.TenantUserStore) braucht Connection-Routing pro
-	// Mandant (TEN-06, noch nicht gebaut) und wird hier bewusst noch nicht
-	// verdrahtet — Package ist bereits eigenstaendig nutzbar/testbar.
-	superadmins := user.NewSuperadminStore(registryPool)
-	userHandler := user.NewHandler(nil, superadmins)
-
 	mux := http.NewServeMux()
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
-	// Vorlaeufige Pfade ohne Versionierung/Auth — werden mit API-01/IAM-02 abgeloest.
+	// Vorlaeufiger Pfad ohne Versionierung/Auth — wird mit API-01/IAM-01 abgeloest.
 	mux.HandleFunc("/internal/tenants", tenantHandler.CreateTenant)
-	mux.HandleFunc("/internal/superadmins", userHandler.CreateSuperadmin)

 	log.Printf("nexarch-core listening on %s", cfg.ListenAddr)
 	if err := http.ListenAndServe(cfg.ListenAddr, mux); err != nil {
@@ -1,52 +0,0 @@
-// notify-api ist der Aufrufpunkt fuer CFG-05: stellt Core CFG-04s
-// EnqueueIfAllowed als HTTP-Endpunkt fuer andere, physisch getrennte
-// Module (Archive, DMS, Mail) bereit. Getrennt von cmd/core aus
-// demselben Grund wie policy-api (RBAC-06).
-package main
-
-import (
-	"context"
-	"log"
-	"net/http"
-	"os"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-	"gitea.perlbach24.de/scripte/nexarch/internal/notifyapi"
-	"gitea.perlbach24.de/scripte/nexarch/internal/notifyprefs"
-)
-
-func main() {
-	dsn := os.Getenv("NEXARCH_NOTIFY_ADMIN_DSN")
-	if dsn == "" {
-		log.Fatal("NEXARCH_NOTIFY_ADMIN_DSN muss gesetzt sein")
-	}
-	serviceToken := os.Getenv("NEXARCH_NOTIFY_SERVICE_TOKEN")
-	if serviceToken == "" {
-		log.Fatal("NEXARCH_NOTIFY_SERVICE_TOKEN muss gesetzt sein")
-	}
-	addr := os.Getenv("NEXARCH_NOTIFY_API_LISTEN_ADDR")
-	if addr == "" {
-		addr = "127.0.0.1:8094"
-	}
-
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		log.Fatalf("datenbankverbindung: %v", err)
-	}
-	defer pool.Close()
-
-	prefs := notifyprefs.NewStore(pool)
-	dispatcher := notify.NewDispatcher(pool)
-
-	mux := http.NewServeMux()
-	notifyapi.Mount(mux, prefs, dispatcher, serviceToken)
-	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	log.Printf("notify-api: listening on %s", addr)
-	if err := http.ListenAndServe(addr, mux); err != nil {
-		log.Fatalf("http server: %v", err)
-	}
-}
@@ -1,50 +0,0 @@
-// policy-api ist der Aufrufpunkt fuer RBAC-06: stellt Core RBAC-02s
-// Enforcer.Authorize als HTTP-Endpunkt fuer andere, physisch getrennte
-// Module (DMS, Mail, Archive) bereit. Getrennt von cmd/core aus
-// demselben Grund wie die anderen *-devserver.
-package main
-
-import (
-	"context"
-	"log"
-	"net/http"
-	"os"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/policy"
-	"gitea.perlbach24.de/scripte/nexarch/internal/policyapi"
-)
-
-func main() {
-	dsn := os.Getenv("NEXARCH_POLICY_ADMIN_DSN")
-	if dsn == "" {
-		log.Fatal("NEXARCH_POLICY_ADMIN_DSN muss gesetzt sein")
-	}
-	serviceToken := os.Getenv("NEXARCH_POLICY_SERVICE_TOKEN")
-	if serviceToken == "" {
-		log.Fatal("NEXARCH_POLICY_SERVICE_TOKEN muss gesetzt sein")
-	}
-	addr := os.Getenv("NEXARCH_POLICY_API_LISTEN_ADDR")
-	if addr == "" {
-		addr = "127.0.0.1:8093"
-	}
-
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		log.Fatalf("datenbankverbindung: %v", err)
-	}
-	defer pool.Close()
-
-	enforcer := policy.NewEnforcer(policy.NewStore(pool))
-
-	mux := http.NewServeMux()
-	policyapi.Mount(mux, enforcer, serviceToken)
-	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	log.Printf("policy-api: listening on %s", addr)
-	if err := http.ListenAndServe(addr, mux); err != nil {
-		log.Fatalf("http server: %v", err)
-	}
-}
@@ -1,14 +0,0 @@
-[Unit]
-Description=NEXARCH Core - Modulübergreifender Benachrichtigungs-Endpunkt (CFG-05)
-After=network.target postgresql.service
-
-[Service]
-Type=simple
-User=nexarch
-EnvironmentFile=/etc/nexarch/notify-api.env
-ExecStart=__INSTALL_DIR__/bin/notify-api
-Restart=on-failure
-StandardOutput=journal
-
-[Install]
-WantedBy=multi-user.target
@@ -1,14 +0,0 @@
-[Unit]
-Description=NEXARCH Core - Modulübergreifender RBAC-Autorisierungs-Endpunkt (RBAC-06)
-After=network.target postgresql.service
-
-[Service]
-Type=simple
-User=nexarch
-EnvironmentFile=/etc/nexarch/policy-api.env
-ExecStart=__INSTALL_DIR__/bin/policy-api
-Restart=on-failure
-StandardOutput=journal
-
-[Install]
-WantedBy=multi-user.target
@@ -1,87 +0,0 @@
-# CFG-05 – Prüfprotokoll: Modulübergreifender HTTP-Endpunkt für Benachrichtigungs-Ereignisse
-
-Voraussetzung CFG-04 – bereits Fertig (siehe eigenes Protokoll).
-
-## Grundsatzentscheidung: Wrapper, keine zweite Benachrichtigungslogik
-
-`internal/notifyapi.Mount` registriert `POST /notify/enqueue`, dessen
-Handler AUSSCHLIESSLICH `notifyprefs.EnqueueIfAllowed` aufruft — dieselbe
-Funktion, die auch core-interne Aufrufer nutzen (z. B. CFG-04s eigene
-Handler). Die Übereinstimmung zwischen HTTP-Antwort und direktem
-Aufruf ist dadurch strukturell garantiert — real bewiesen für
-aktivierten UND deaktivierten Kanal (siehe Prüfungen).
-
-**Endpunkt ist für externe Module aufrufbar, nicht nur Core-intern:**
-real per HTTP von einem simulierten Fremd-Modul-Testclient
-(`TestEnqueueHandler_RealForeignModuleClient`) und per `curl` von der
-Kommandozeile aus aufgerufen, jeweils gegen den laufenden, über
-systemd verwalteten `notify-api`-Prozess — nicht nur als Go-Funktion
-innerhalb desselben Prozesses getestet.
-
-## Service-Authentifizierung: Reuse von RBAC-06, kein neues Provisorium
-
-`internal/policyapi.RequireServiceToken` (RBAC-06) direkt
-wiederverwendet — kein zweiter, abweichender Service-Token-Mechanismus.
-Beide liegen im selben Core-Go-Modul, ein echter Import statt
-Duplikat. `notify-api` läuft als eigener systemd-Dienst (analog
-`policy-api`), mit eigenem `NEXARCH_NOTIFY_SERVICE_TOKEN`
-(unabhängiger Tokenwert von RBAC-06s Token — getrennte
-Vertrauensgrenze pro Endpunkt, kein geteiltes Secret).
-
-## Umsetzung
-
- `internal/notifyapi.Mount`/`enqueueHandler` — `POST /notify/enqueue`,
-  reiner Wrapper um `notifyprefs.EnqueueIfAllowed`.
- `cmd/notify-api` — eigenständiger HTTP-Dienst, Port 8094.
- `deploy/systemd/nexarch-notify-api.service.tmpl`.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Endpunkt-Antwort stimmt in mehreren Stichproben mit dem direkten EnqueueIfAllowed-Ergebnis überein | **bestanden** — `TestEnqueueHandler_MatchesDirectEnqueueIfAllowed`: aktivierter Kanal (Opt-out-Default) liefert echte Job-ID; deaktivierter Kanal wird real per `prefs.Set(...,false)` gesetzt, HTTP-Antwort (`skipped=true`) stimmt exakt mit dem parallel ausgeführten direkten Aufruf überein |
-| 2 | Aufruf ohne Service-Token wird abgewiesen (401), Handler nie erreicht | **bestanden** — `TestEnqueueHandler_MissingTokenReturns401`; real auf 131: `curl` ohne `X-Service-Token` → 401 |
-| 3 | Ein simulierter Fremd-Modul-Testclient löst real über den laufenden Endpunkt ein Ereignis aus | **bestanden** — `TestEnqueueHandler_RealForeignModuleClient`: echte `notification_jobs`-Zeile per SQL nachgewiesen; zusätzlich real auf 131 per `curl` reproduziert, resultierende `notification_jobs`-Zeile per `psql` bestätigt (`status=pending`), danach entfernt |
-
-## Echte Verdrahtung auf 192.168.1.131
-
- `notify-api` gebaut nach `/opt/nexarch-core/bin/`
- `/etc/nexarch/notify-api.env` (0600)
- `nexarch-notify-api.service` installiert/aktiviert (dauerhaft,
-  `Restart=on-failure`)
- Reale Rechtevergabe-Lücke gefunden und behoben (gleiches Muster wie
-  RBAC-06): `notification_preferences`/`notification_jobs` gehörten
-  `postgres`, `nexarch_core` hatte keine Rechte — `GRANT` nachgezogen
-  und über `information_schema.role_table_grants` verifiziert (nicht
-  nur ausgeführt und angenommen), bevor der End-zu-Ende-Test erneut
-  lief.
- Realer End-zu-Ende-Test via `curl`: 401 ohne Token, `job_id` +
-  `skipped:false` nach echtem Aufruf, `notification_jobs`-Zeile per
-  `psql` bestätigt, danach entfernt.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./internal/notifyapi/... ./internal/notifyprefs/... ./internal/policyapi/... -> alle bestanden
-```
-
-**Hinweis:** `go test ./... -p 1` auf diesem Branch zeigt Fehlschläge in
-`internal/user` (`database "test_iam01_users" already exists`) — reale
-Umgebungs-Altlast aus früheren IAM-01-Testläufen dieser Session,
-NICHT durch CFG-05 verursacht. Alle von CFG-05 tatsächlich berührten
-Pakete (`internal/notifyapi`, `internal/notifyprefs`, `internal/notify`,
-`internal/policy`, `internal/policyapi`, `internal/rbac`,
-`internal/auth`, `internal/cfgservice`, `internal/channels`,
-`internal/tenant`) sind grün.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
-Pflichtprüfungen real erfüllt — inklusive echtem systemd-Deploy und
-curl-Nachweis. Schließt denselben "Go-Code ohne HTTP-Schnittstelle für
-andere Module"-Befund für Benachrichtigungs-Ereignisse, den RBAC-06
-für Policy-Entscheidungen geschlossen hat. RET-07 (Archive) kann sich
-jetzt gegen diesen Endpunkt verdrahten.
@@ -1,109 +0,0 @@
-# RBAC-06 – Prüfprotokoll: Modulübergreifender HTTP-Endpunkt für Policy-Entscheidungen
-
-Voraussetzung RBAC-02 – bereits Fertig (siehe eigenes Protokoll).
-
-## Grundsatzentscheidung: Wrapper, keine zweite Autorisierungslogik
-
-`internal/policyapi.Mount` registriert `POST /authorize`, dessen Handler
-AUSSCHLIESSLICH `policy.Enforcer.Authorize` aufruft — es gibt keinen
-zweiten, abweichenden Entscheidungspfad. Die Übereinstimmung zwischen
-HTTP-Antwort und direktem Enforcer-Ergebnis (Akzeptanzkriterium 1) ist
-dadurch strukturell garantiert, nicht nur zufällig getestet — real mit
-100 Stichproben bewiesen (siehe Prüfungen).
-
-## Service-Authentifizierung: eigener, schlanker Token statt moduleregistry
-
-Für Akzeptanzkriterium 2 (service-zu-service-authentifiziert) wurde
-BEWUSST NICHT `internal/moduleregistry.Registry.RequireServiceCredential`
-(API-02) wiederverwendet — dessen `Provision`/`Authenticate` ist ein
-volles Credential-Ausstellungssystem für Modul-AKTIVIERUNG, zieht
-`internal/flag` als weitere Abhängigkeit nach sich und wurde nie mit
-`internal/policy` zusammen gemergt (beide entstanden auf unabhängigen,
-nie zusammengeführten Feature-Branches). Für einen einzelnen,
-zustandslosen Autorisierungs-Endpunkt genügt ein geteilter, über
-Umgebungsvariable konfigurierter Service-Token, timing-safe verglichen
-(`subtle.ConstantTimeCompare`, dieselbe Referenzimplementierung wie
-AUD-02) — kleinste Lösung, die Akzeptanzkriterium 2 erfüllt, ohne
-unnötige Kopplung an ein für diesen Zweck überdimensioniertes System.
-
-## Bezug zu Archive RET-06-API
-
-Ersetzt das dort dokumentierte Provisorium
-(`internal/retentionapi.RequireRole`, Header-basierter Rollen-Check) —
-siehe `archive/docs/RET-06-API-PRUEFPROTOKOLL.md`. Die Migration von
-RET-06-API auf einen echten Aufruf dieses Endpunkts ist ein eigenes,
-kleines Folgeticket (Akzeptanzkriterium 3) — hier nicht mit umgesetzt,
-um RBAC-06 nicht mit Archive-Code zu vermischen (kein Umbau
-angrenzender Bereiche).
-
-## Umsetzung
-
- `internal/policyapi.RequireServiceToken` — timing-safer
-  Service-Token-Check.
- `internal/policyapi.Mount`/`authorizeHandler` — `POST /authorize`,
-  reiner Wrapper um `enforcer.Authorize`.
- `cmd/policy-api` — eigenständiger HTTP-Dienst (analog zu den
-  bestehenden `*-devserver`n, getrennt von `cmd/core`).
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Endpunkt-Antwort stimmt in 100 Stichproben exakt mit dem direkten Enforcer.Authorize-Ergebnis überein | **bestanden** — `TestAuthorizeHandler_MatchesDirectEnforcerResult`: 100 Läufe über drei role/permission-Kombinationen (erlaubt, unbekannte Rolle, falsches Recht), jede einzelne HTTP-Antwort mit dem direkten Aufruf verglichen, 0 Abweichungen |
-| 2 | Aufruf ohne gültige Service-Credentials wird abgewiesen (401/403), nicht mit einer Policy-Entscheidung beantwortet | **bestanden** — `TestRequireServiceToken_MissingOrWrongTokenReturns401` (Handler nachweislich NIE erreicht) UND `TestRequireServiceToken_CorrectTokenAllowsAccess`; real auf 131: `curl` ohne Token → 401 |
-| 3 | Ein simulierter Fremd-Modul-Testclient fragt real gegen den laufenden Endpunkt ab und erhält korrekte Allow/Deny-Antworten | **bestanden** — real auf 131: `curl` mit Service-Token gegen `archive_admin`/`retention.configure` (simuliert Archive als Aufrufer) liefert korrekt `{"allowed":false}` ohne Regel und `{"allowed":true}` nach realem `Grant` |
-
-## Echte Verdrahtung auf 192.168.1.131
-
- `policy-api` gebaut nach `/opt/nexarch-core/bin/`
- `/etc/nexarch/policy-api.env` (0600)
- `nexarch-policy-api.service` installiert/aktiviert (dauerhaft,
-  `Restart=on-failure`)
- Reale Rechtevergabe-Lücke gefunden und behoben: `policy_rules`/
-  `policy_rule_changes` waren auf `nexarch_registry` bereits von einem
-  früheren Testlauf unter der Rolle `postgres` angelegt worden,
-  `nexarch_core` hatte keine Rechte darauf — `GRANT` nachgezogen und
-  NACHTRÄGLICH VERIFIZIERT (nicht nur ausgeführt und angenommen):
-  `information_schema.role_table_grants` bestätigt `nexarch_core` hat
-  dauerhaft SELECT/INSERT/UPDATE/DELETE auf `policy_rules` und
-  SELECT/INSERT auf `policy_rule_changes` — der Endpunkt hängt NICHT
-  von der zufälligen `postgres`-Eigentümerschaft ab, sondern von einem
-  eigenen, geprüften Grant für die tatsächlich im Betrieb genutzte
-  Rolle (`NEXARCH_POLICY_ADMIN_DSN` in `/etc/nexarch/policy-api.env`
-  verwendet `nexarch_core`). Dieser Grant ist Teil des Deploy-Vorgangs,
-  nicht Teil von RBAC-02s Migration (deren Ticket bereits Fertig ist,
-  hier nicht nachträglich verändert) — ein künftiges Fresh-Deploy muss
-  ihn wiederholen, dokumentiert hier als Betriebsschritt.
- **Push zu Gitea vorübergehend nicht möglich**: `gitea.perlbach24.de`
-  war zum Zeitpunkt des Commits über TCP 443/80 nicht erreichbar (Ping
-  auf den Host erfolgreich, HTTP(S)-Ports timeout) — externer
-  Netzwerk-/Dienstausfall, KEIN Code- oder Konfigurationsfehler dieses
-  Tickets. Board-Status blieb bewusst auf „Backlog“, bis der Push
-  tatsächlich durchgeführt wurde (kein Status-Flip ohne Push).
- Realer End-zu-Ende-Test via `curl`: 401 ohne Token, `{"allowed":false}`
-  für unbekannte Kombination, `{"allowed":true}` nach echtem `Grant`,
-  Testregel anschließend entfernt
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./internal/policy/... ./internal/policyapi/... ./internal/rbac/... -> alle bestanden
-```
-
-**Hinweis:** `go test ./... -p 1` auf diesem Branch zeigt Fehlschläge in
-`internal/tenant`/`internal/user` — reale Umgebungs-Altlasten (z. B.
-bereits existierende `tenant_acme`-Datenbank) aus früheren TEN-01-
-Testläufen dieser Session, NICHT durch RBAC-06 verursacht und nicht in
-dessen Scope. Alle drei von RBAC-06 tatsächlich berührten Pakete
-(`internal/policy`, `internal/policyapi`, `internal/rbac`) sind grün.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
-Pflichtprüfungen real erfüllt — inklusive echtem systemd-Deploy und
-curl-Nachweis beider Pfade (Allow und Deny). Schließt den seit
-FDN-03/FDN-09 wiederkehrenden "Go-Code ohne HTTP-Schnittstelle für
-andere Module"-Befund für RBAC-Abfragen einmalig und wiederverwendbar.
@@ -2,16 +2,13 @@ module gitea.perlbach24.de/scripte/nexarch

 go 1.22

-require (
-	github.com/golang-jwt/jwt/v5 v5.3.1
-	github.com/jackc/pgx/v5 v5.6.0
-	golang.org/x/crypto v0.17.0
-)
+require github.com/jackc/pgx/v5 v5.6.0

 require (
 	github.com/jackc/pgpassfile v1.0.0 // indirect
 	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
 	github.com/jackc/puddle/v2 v2.2.1 // indirect
+	golang.org/x/crypto v0.17.0 // indirect
 	golang.org/x/sync v0.1.0 // indirect
 	golang.org/x/text v0.14.0 // indirect
 )
@@ -1,8 +1,6 @@
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
-github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
-github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
 github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
 github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
 github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
@@ -1,67 +0,0 @@
-package auth
-
-import (
-	"encoding/json"
-	"net/http"
-	"time"
-)
-
-// Handler stellt Login/Logout als HTTP-Endpunkte bereit. Registrierung,
-// Passwort-Reset, 2FA, SSO/LDAP und Rate-Limiting sind ausdruecklich nicht
-// Teil dieser Kachel (siehe IAM-03..07).
-type Handler struct {
-	login *LoginService
-}
-
-func NewHandler(login *LoginService) *Handler {
-	return &Handler{login: login}
-}
-
-type loginRequest struct {
-	Email    string `json:"email"`
-	Password string `json:"password"`
-}
-
-func (h *Handler) Login(w http.ResponseWriter, r *http.Request) {
-	var req loginRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	token, err := h.login.Login(r.Context(), req.Email, req.Password)
-	if err != nil {
-		http.Error(w, ErrInvalidCredentials.Error(), http.StatusUnauthorized)
-		return
-	}
-
-	http.SetCookie(w, &http.Cookie{
-		Name:     CookieName,
-		Value:    token,
-		Path:     "/",
-		HttpOnly: true,
-		Secure:   true,
-		SameSite: http.SameSiteStrictMode,
-		MaxAge:   int(AccessTokenTTL.Seconds()),
-	})
-	w.WriteHeader(http.StatusOK)
-}
-
-// Logout loescht das Session-Cookie. Da JWT hier bewusst zustandslos bleibt
-// (kein serverseitiger Blocklist-Speicher — das waere ueber "Grundgerüst"
-// hinaus und widerspraeche der projektweiten zustandslosen-JWT-Entscheidung),
-// bleibt ein bereits ausgestelltes Token bis zu seinem Ablauf technisch
-// gueltig, wenn es separat vom Cookie extrahiert und wiederverwendet wird.
-func (h *Handler) Logout(w http.ResponseWriter, r *http.Request) {
-	http.SetCookie(w, &http.Cookie{
-		Name:     CookieName,
-		Value:    "",
-		Path:     "/",
-		HttpOnly: true,
-		Secure:   true,
-		SameSite: http.SameSiteStrictMode,
-		MaxAge:   -1,
-		Expires:  time.Unix(0, 0),
-	})
-	w.WriteHeader(http.StatusOK)
-}
@@ -1,56 +0,0 @@
-package auth
-
-import (
-	"context"
-	"errors"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-var ErrInvalidCredentials = errors.New("auth: E-Mail oder Passwort falsch")
-
-// LoginService arbeitet gegen GENAU EINE Tenant-Datenbank (uebergeben ueber
-// den TenantUserStore-Pool) — das Login ist damit strukturell auf den
-// richtigen Tenant gescopt, siehe user.TenantUserStore.GetByEmailForAuth.
-type LoginService struct {
-	users  *user.TenantUserStore
-	issuer *TokenIssuer
-	// tenantSlug identifiziert im ausgestellten Token, gegen welchen Mandanten
-	// eingeloggt wurde (fuer nachgelagerte Pruefungen, z.B. Middleware-Logs).
-	tenantSlug string
-}
-
-func NewLoginService(users *user.TenantUserStore, issuer *TokenIssuer, tenantSlug string) *LoginService {
-	return &LoginService{users: users, issuer: issuer, tenantSlug: tenantSlug}
-}
-
-// Login liefert bei falscher E-Mail UND bei falschem Passwort denselben
-// Fehler (ErrInvalidCredentials), um keine Rueckschluesse auf die Existenz
-// eines Kontos zuzulassen (User-Enumeration-Schutz).
-func (s *LoginService) Login(ctx context.Context, email, password string) (string, error) {
-	creds, err := s.users.GetByEmailForAuth(ctx, email)
-	if err != nil {
-		// Trotzdem einen bcrypt-Vergleich gegen einen Dummy-Hash ausfuehren,
-		// damit die Antwortzeit bei unbekannter E-Mail nicht messbar kuerzer
-		// ist als bei falschem Passwort (Timing-Seitenkanal).
-		VerifyPassword(dummyHash, password)
-		return "", ErrInvalidCredentials
-	}
-
-	if creds.User.Status != user.StatusActive {
-		return "", ErrInvalidCredentials
-	}
-
-	if !VerifyPassword(creds.PasswordHash, password) {
-		return "", ErrInvalidCredentials
-	}
-
-	return s.issuer.Issue(creds.User.ID, s.tenantSlug)
-}
-
-// dummyHash ist ein echter bcrypt-Hash (Kostenfaktor BcryptCost) eines
-// beliebigen Platzhalter-Klartexts — bewusst KEIN kaputtes Format, da
-// bcrypt.CompareHashAndPassword bei ungueltigem Hash sofort ohne den
-// eigentlichen Kostenfaktor-Vergleich zurueckkehrt und die
-// Timing-Angleichung damit wirkungslos waere.
-const dummyHash = "$2a$12$cmwiETrG9DK5/uTM2fg4uetngYUspKjME5P8fNpk0QYTaO64N0r3C"
@@ -1,177 +0,0 @@
-package auth
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-const usersSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE users (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	password_hash TEXT NOT NULL DEFAULT '',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-func setupTenantDB(t *testing.T, dbName string) *pgxpool.Pool {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
-		t.Fatalf("testdatenbank anlegen: %v", err)
-	}
-
-	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("connect testdatenbank: %v", err)
-	}
-	if _, err := pool.Exec(ctx, usersSchema); err != nil {
-		t.Fatalf("schema anwenden: %v", err)
-	}
-
-	t.Cleanup(func() {
-		pool.Close()
-		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-		adminPool.Close()
-	})
-	return pool
-}
-
-func createUserWithPassword(t *testing.T, store *user.TenantUserStore, email, password string) user.User {
-	t.Helper()
-	ctx := context.Background()
-	u, err := store.Create(ctx, email, "Test User")
-	if err != nil {
-		t.Fatalf("create user: %v", err)
-	}
-	hash, err := HashPassword(password)
-	if err != nil {
-		t.Fatalf("hash password: %v", err)
-	}
-	if err := store.SetPasswordHash(ctx, u.ID, hash); err != nil {
-		t.Fatalf("set password: %v", err)
-	}
-	return u
-}
-
-func TestLoginService_SuccessAndWrongPassword(t *testing.T) {
-	pool := setupTenantDB(t, "test_iam02_login")
-	store := user.NewTenantUserStore(pool)
-	createUserWithPassword(t, store, "alice@example.com", "korrektes-passwort")
-
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	login := NewLoginService(store, issuer, "acme")
-
-	token, err := login.Login(context.Background(), "alice@example.com", "korrektes-passwort")
-	if err != nil {
-		t.Fatalf("login: %v", err)
-	}
-	if token == "" {
-		t.Fatal("erwartet nicht-leeres token")
-	}
-
-	if _, err := login.Login(context.Background(), "alice@example.com", "falsches-passwort"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials, habe %v", err)
-	}
-
-	if _, err := login.Login(context.Background(), "unbekannt@example.com", "irgendwas"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials bei unbekannter email, habe %v", err)
-	}
-}
-
-// Pruefung 1: kein Cross-Tenant-Login moeglich, obwohl dieselbe E-Mail in
-// zwei unterschiedlichen Tenant-Datenbanken mit unterschiedlichen Passwoertern
-// existiert.
-func TestLoginService_NoCrossTenantLogin(t *testing.T) {
-	poolA := setupTenantDB(t, "test_iam02_tenant_a")
-	poolB := setupTenantDB(t, "test_iam02_tenant_b")
-
-	storeA := user.NewTenantUserStore(poolA)
-	storeB := user.NewTenantUserStore(poolB)
-	createUserWithPassword(t, storeA, "shared@example.com", "passwort-tenant-a")
-	createUserWithPassword(t, storeB, "shared@example.com", "passwort-tenant-b")
-
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	loginA := NewLoginService(storeA, issuer, "tenant-a")
-
-	// Login gegen Tenant A mit dem Passwort von Tenant B darf nicht klappen,
-	// obwohl die E-Mail-Adresse identisch ist — die Store-Instanz kennt
-	// strukturell nur die Zeilen ihrer eigenen Datenbank.
-	if _, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-b"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials fuer fremdes tenant-passwort, habe %v", err)
-	}
-
-	token, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-a")
-	if err != nil {
-		t.Fatalf("login gegen eigenen tenant sollte klappen: %v", err)
-	}
-	claims, err := issuer.Verify(token)
-	if err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-	if claims.TenantSlug != "tenant-a" {
-		t.Fatalf("token tenant = %q, want tenant-a", claims.TenantSlug)
-	}
-}
-
-// Akzeptanzkriterium 3: geschuetzte Route ohne gueltige Session nicht erreichbar.
-func TestRequireAuth_BlocksWithoutValidCookie(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	protected := RequireAuth(issuer, func(w http.ResponseWriter, r *http.Request) {
-		w.WriteHeader(http.StatusOK)
-	})
-
-	// Kein Cookie.
-	req := httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	rec := httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("ohne cookie: status = %d, want 401", rec.Code)
-	}
-
-	// Manipuliertes Cookie.
-	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	req.AddCookie(&http.Cookie{Name: CookieName, Value: "kaputt.token.hier"})
-	rec = httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("mit kaputtem cookie: status = %d, want 401", rec.Code)
-	}
-
-	// Gueltiges Token.
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	req.AddCookie(&http.Cookie{Name: CookieName, Value: token})
-	rec = httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusOK {
-		t.Fatalf("mit gueltigem cookie: status = %d, want 200", rec.Code)
-	}
-}
@@ -1,41 +0,0 @@
-package auth
-
-import (
-	"context"
-	"net/http"
-)
-
-const CookieName = "nexarch_session"
-
-type contextKey int
-
-const claimsContextKey contextKey = iota
-
-// RequireAuth schuetzt eine Route: ohne gueltiges, nicht abgelaufenes Token
-// im Session-Cookie wird 401 zurueckgegeben und der Handler nicht aufgerufen
-// (IAM-02 Akzeptanzkriterium 3).
-func RequireAuth(issuer *TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		cookie, err := r.Cookie(CookieName)
-		if err != nil {
-			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-			return
-		}
-
-		claims, err := issuer.Verify(cookie.Value)
-		if err != nil {
-			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-			return
-		}
-
-		ctx := context.WithValue(r.Context(), claimsContextKey, claims)
-		next(w, r.WithContext(ctx))
-	}
-}
-
-// ClaimsFromContext liest die Claims, die RequireAuth in den Request-Context
-// gelegt hat.
-func ClaimsFromContext(ctx context.Context) (*Claims, bool) {
-	c, ok := ctx.Value(claimsContextKey).(*Claims)
-	return c, ok
-}
@@ -1,28 +0,0 @@
-// Package auth implementiert Core IAM-02: Login/Logout, Passwort-Hashing und
-// die Middleware zum Schutz von Routen. Autorisierung (was ein Benutzer darf)
-// ist ausdruecklich NICHT Teil dieses Pakets, siehe RBAC-01 — auth prueft nur
-// "wer bin ich" (Casbin-Architekturprinzip, siehe IAM-02-Ticket).
-package auth
-
-import "golang.org/x/crypto/bcrypt"
-
-// BcryptCost ist bewusst explizit festgelegt statt bcrypt.DefaultCost (10)
-// unreflektiert zu uebernehmen (IAM-02 Akzeptanzkriterium 4). Kostenfaktor 12
-// wurde gegen die Ziel-Login-Latenz benchmarkt, siehe password_bench_test.go
-// und den Pruefungs-Eintrag in der Commit-Nachricht.
-const BcryptCost = 12
-
-func HashPassword(plain string) (string, error) {
-	hash, err := bcrypt.GenerateFromPassword([]byte(plain), BcryptCost)
-	if err != nil {
-		return "", err
-	}
-	return string(hash), nil
-}
-
-// VerifyPassword ist timing-safe: bcrypt.CompareHashAndPassword vergleicht
-// konstant in der Zeit bzgl. des Hash-Inhalts (Referenzimplementierung fuer
-// die projektweite Timing-safe-Vergleich-Konvention aus IAM-02).
-func VerifyPassword(hash, plain string) bool {
-	return bcrypt.CompareHashAndPassword([]byte(hash), []byte(plain)) == nil
-}
@@ -1,42 +0,0 @@
-package auth
-
-import (
-	"testing"
-	"time"
-)
-
-// TargetLoginLatency ist der Zielwert aus IAM-02 Akzeptanzkriterium 4: der
-// bcrypt-Vergleich allein darf die Login-Latenz nicht dominieren. 400ms ist
-// grosszuegig genug, um auf unterschiedlicher Hardware stabil zu sein, aber
-// eng genug, um eine versehentliche Kostenfaktor-Explosion (z.B. 16 statt 12)
-// zuverlaessig aufzudecken.
-const TargetLoginLatency = 400 * time.Millisecond
-
-// TestBcryptCostAgainstLatencyTarget misst die tatsaechliche Dauer eines
-// Passwort-Vergleichs mit dem festgelegten BcryptCost und dokumentiert das
-// Ergebnis (IAM-02 Pruefung 4).
-func TestBcryptCostAgainstLatencyTarget(t *testing.T) {
-	hash, err := HashPassword("benchmark-passwort")
-	if err != nil {
-		t.Fatalf("hash: %v", err)
-	}
-
-	start := time.Now()
-	if !VerifyPassword(hash, "benchmark-passwort") {
-		t.Fatal("verifikation haette erfolgreich sein muessen")
-	}
-	elapsed := time.Since(start)
-
-	t.Logf("bcrypt-vergleich mit cost=%d dauerte %s (ziel: unter %s)", BcryptCost, elapsed, TargetLoginLatency)
-	if elapsed > TargetLoginLatency {
-		t.Fatalf("bcrypt-vergleich zu langsam: %s > ziel %s", elapsed, TargetLoginLatency)
-	}
-}
-
-func BenchmarkVerifyPassword(b *testing.B) {
-	hash, _ := HashPassword("benchmark-passwort")
-	b.ResetTimer()
-	for i := 0; i < b.N; i++ {
-		VerifyPassword(hash, "benchmark-passwort")
-	}
-}
@@ -1,28 +0,0 @@
-package auth
-
-import "testing"
-
-func TestHashAndVerifyPassword(t *testing.T) {
-	hash, err := HashPassword("s3hr-geheim!")
-	if err != nil {
-		t.Fatalf("hash: %v", err)
-	}
-	if hash == "s3hr-geheim!" {
-		t.Fatal("passwort wurde nicht gehasht")
-	}
-	if !VerifyPassword(hash, "s3hr-geheim!") {
-		t.Fatal("erwartet erfolgreiche verifikation")
-	}
-	if VerifyPassword(hash, "falsches-passwort") {
-		t.Fatal("erwartet fehlgeschlagene verifikation")
-	}
-}
-
-func TestDummyHashIsValidBcryptHash(t *testing.T) {
-	// Stellt sicher, dass der Timing-Angleichs-Hash in login.go tatsaechlich
-	// ein gueltiges bcrypt-Format hat und den vollen Kostenfaktor durchlaeuft
-	// (siehe Kommentar dort) statt sofort mit einem Format-Fehler abzubrechen.
-	if VerifyPassword(dummyHash, "irgendein-text") {
-		t.Fatal("dummyHash sollte fuer beliebigen text nicht passen")
-	}
-}
@@ -1,63 +0,0 @@
-package auth
-
-import (
-	"errors"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-// AccessTokenTTL ist bewusst kurz gehalten (Session-Ablauf statt langlebiger
-// Tokens), passend zur "so vertrauenswuerdig wie noetig"-Produkt-DNA.
-const AccessTokenTTL = 30 * time.Minute
-
-var ErrInvalidToken = errors.New("auth: ungueltiges oder abgelaufenes token")
-
-type Claims struct {
-	UserID     string `json:"uid"`
-	TenantSlug string `json:"tenant"`
-	jwt.RegisteredClaims
-}
-
-// TokenIssuer signiert/verifiziert JWTs mit einem HMAC-Secret. Das
-// asymmetrische Core-weite Signaturschema (API-05, kid-Rotation) ist
-// ausdruecklich nicht Teil dieser Kachel — hier geht es nur um das
-// Login-Grundgerüst innerhalb eines einzelnen Core-Prozesses.
-type TokenIssuer struct {
-	secret []byte
-}
-
-func NewTokenIssuer(secret string) *TokenIssuer {
-	return &TokenIssuer{secret: []byte(secret)}
-}
-
-func (i *TokenIssuer) Issue(userID, tenantSlug string) (string, error) {
-	now := time.Now()
-	claims := Claims{
-		UserID:     userID,
-		TenantSlug: tenantSlug,
-		RegisteredClaims: jwt.RegisteredClaims{
-			IssuedAt:  jwt.NewNumericDate(now),
-			ExpiresAt: jwt.NewNumericDate(now.Add(AccessTokenTTL)),
-		},
-	}
-	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
-	return token.SignedString(i.secret)
-}
-
-// Verify prueft Signatur UND Ablauf (jwt.ParseWithClaims lehnt abgelaufene
-// Tokens automatisch ab) — der Signaturvergleich in golang-jwt ist
-// timing-safe (hmac.Equal).
-func (i *TokenIssuer) Verify(tokenString string) (*Claims, error) {
-	claims := &Claims{}
-	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
-		if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
-			return nil, ErrInvalidToken
-		}
-		return i.secret, nil
-	})
-	if err != nil || !token.Valid {
-		return nil, ErrInvalidToken
-	}
-	return claims, nil
-}
@@ -1,82 +0,0 @@
-package auth
-
-import (
-	"strings"
-	"testing"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-func TestTokenIssueAndVerify(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	claims, err := issuer.Verify(token)
-	if err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-	if claims.UserID != "user-1" || claims.TenantSlug != "acme" {
-		t.Fatalf("claims unerwartet: %+v", claims)
-	}
-}
-
-// Pruefung 2: Token-Manipulationstest.
-func TestTokenVerify_RejectsManipulatedPayload(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	parts := strings.Split(token, ".")
-	if len(parts) != 3 {
-		t.Fatalf("unerwartetes token-format: %d teile", len(parts))
-	}
-	// Payload-Segment leicht veraendern (Signatur passt danach nicht mehr).
-	tampered := parts[0] + "." + parts[1] + "x" + "." + parts[2]
-
-	if _, err := issuer.Verify(tampered); err == nil {
-		t.Fatal("erwartet fehler bei manipuliertem token, habe nil")
-	}
-}
-
-func TestTokenVerify_RejectsWrongSecret(t *testing.T) {
-	issuer := NewTokenIssuer("secret-a")
-	other := NewTokenIssuer("secret-b")
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-	if _, err := other.Verify(token); err == nil {
-		t.Fatal("erwartet fehler bei falschem secret, habe nil")
-	}
-}
-
-// Pruefung 3: abgelaufenes Token erzwingt Neuanmeldung.
-func TestTokenVerify_RejectsExpiredToken(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-
-	claims := Claims{
-		UserID:     "user-1",
-		TenantSlug: "acme",
-		RegisteredClaims: jwt.RegisteredClaims{
-			IssuedAt:  jwt.NewNumericDate(time.Now().Add(-2 * AccessTokenTTL)),
-			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Minute)),
-		},
-	}
-	tok := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
-	expired, err := tok.SignedString([]byte("test-secret-nur-fuer-tests"))
-	if err != nil {
-		t.Fatalf("signieren: %v", err)
-	}
-
-	if _, err := issuer.Verify(expired); err == nil {
-		t.Fatal("erwartet fehler bei abgelaufenem token, habe nil")
-	}
-}
@@ -1,88 +0,0 @@
-package cfgservice
-
-import (
-	"context"
-	"errors"
-	"sync"
-	"time"
-)
-
-// DefaultCacheTTL ist die dokumentierte Cache-Invalidierungszeit
-// (Akzeptanzkriterium 2 / Pruefung 2 in diesem Ticket bezieht sich auf die
-// Aenderungsnachvollziehbarkeit — die Cache-Frist selbst folgt demselben
-// Muster wie internal/flag.DefaultCacheTTL).
-const DefaultCacheTTL = 5 * time.Second
-
-type cacheEntry struct {
-	value     Value
-	expiresAt time.Time
-}
-
-// Service ist die Leseseite mit Vorrangregel (Akzeptanzkriterium 1:
-// Tenant-Override vor Global-Default) und lokalem TTL-Cache.
-type Service struct {
-	store *Store
-	ttl   time.Duration
-
-	mu    sync.RWMutex
-	cache map[string]cacheEntry // Schluessel: key + "\x00" + tenantSlug
-}
-
-func NewService(store *Store, ttl time.Duration) *Service {
-	if ttl <= 0 {
-		ttl = DefaultCacheTTL
-	}
-	return &Service{store: store, ttl: ttl, cache: make(map[string]cacheEntry)}
-}
-
-func cacheKey(key, tenantSlug string) string {
-	return key + "\x00" + tenantSlug
-}
-
-// Resolve liefert den Konfigurationswert fuer einen Tenant: ein
-// Tenant-spezifischer Override hat Vorrang vor dem globalen Default
-// (Akzeptanzkriterium 1 / Pruefung 1). tenantSlug == "" wertet nur den
-// globalen Wert aus.
-func (s *Service) Resolve(ctx context.Context, tenantSlug, key string) (Value, error) {
-	ck := cacheKey(key, tenantSlug)
-
-	s.mu.RLock()
-	entry, exists := s.cache[ck]
-	fresh := exists && time.Now().Before(entry.expiresAt)
-	s.mu.RUnlock()
-	if fresh {
-		return entry.value, nil
-	}
-
-	v, err := s.resolveUncached(ctx, tenantSlug, key)
-	if err != nil {
-		return Value{}, err
-	}
-
-	s.mu.Lock()
-	s.cache[ck] = cacheEntry{value: v, expiresAt: time.Now().Add(s.ttl)}
-	s.mu.Unlock()
-	return v, nil
-}
-
-func (s *Service) resolveUncached(ctx context.Context, tenantSlug, key string) (Value, error) {
-	if tenantSlug != "" {
-		v, err := s.store.Get(ctx, key, tenantSlug)
-		if err == nil {
-			return v, nil
-		}
-		if !errors.Is(err, ErrNotFound) {
-			return Value{}, err
-		}
-	}
-	return s.store.Get(ctx, key, GlobalScope)
-}
-
-// Invalidate erzwingt beim naechsten Resolve-Aufruf ein sofortiges Neuladen
-// fuer einen bestimmten (key, tenantSlug) statt auf den TTL-Ablauf zu warten
-// — analog internal/flag.Service.Invalidate.
-func (s *Service) Invalidate(key, tenantSlug string) {
-	s.mu.Lock()
-	delete(s.cache, cacheKey(key, tenantSlug))
-	s.mu.Unlock()
-}
@@ -1,114 +0,0 @@
-package cfgservice
-
-import (
-	"context"
-	"testing"
-	"time"
-)
-
-// Akzeptanzkriterium 1 + Pruefung 1: Tenant-Override hat Vorrang vor
-// Global-Default, automatisiert getestet.
-func TestService_TenantOverrideTakesPrecedenceOverGlobal(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Set(ctx, "test_precedence_key", GlobalScope, "global-wert"); err != nil {
-		t.Fatalf("set global: %v", err)
-	}
-	if _, err := store.Set(ctx, "test_precedence_key", "test_acme", "tenant-wert"); err != nil {
-		t.Fatalf("set tenant: %v", err)
-	}
-
-	svc := NewService(store, time.Hour)
-
-	got, err := svc.Resolve(ctx, "test_acme", "test_precedence_key")
-	if err != nil {
-		t.Fatalf("resolve mit override: %v", err)
-	}
-	if got.Value != "tenant-wert" {
-		t.Fatalf("erwartet tenant-override, habe %q", got.Value)
-	}
-
-	gotOther, err := svc.Resolve(ctx, "test_anderer_tenant", "test_precedence_key")
-	if err != nil {
-		t.Fatalf("resolve ohne override: %v", err)
-	}
-	if gotOther.Value != "global-wert" {
-		t.Fatalf("erwartet global-default fuer tenant ohne override, habe %q", gotOther.Value)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Cache-Invalidierung nach
-// Konfigurationsaenderung innerhalb dokumentierter Zeit gemessen.
-func TestService_CacheInvalidationTiming(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	const ttl = 150 * time.Millisecond
-	if _, err := store.Set(ctx, "test_ttl_key", GlobalScope, "alt"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	svc := NewService(store, ttl)
-
-	v, err := svc.Resolve(ctx, "", "test_ttl_key")
-	if err != nil {
-		t.Fatalf("resolve: %v", err)
-	}
-	if v.Value != "alt" {
-		t.Fatalf("erwartet 'alt', habe %q", v.Value)
-	}
-
-	changedAt := time.Now()
-	if _, err := store.Set(ctx, "test_ttl_key", GlobalScope, "neu"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-
-	v, err = svc.Resolve(ctx, "", "test_ttl_key")
-	if err != nil {
-		t.Fatalf("resolve direkt nach aenderung: %v", err)
-	}
-	if v.Value != "alt" {
-		t.Fatalf("cache haette den alten wert liefern sollen, habe %q", v.Value)
-	}
-
-	deadline := changedAt.Add(ttl + 100*time.Millisecond)
-	for time.Now().Before(deadline) {
-		v, err := svc.Resolve(ctx, "", "test_ttl_key")
-		if err != nil {
-			t.Fatalf("resolve: %v", err)
-		}
-		if v.Value == "neu" {
-			t.Logf("aenderung wurde nach %s wirksam (ziel: innerhalb %s + toleranz)", time.Since(changedAt), ttl)
-			return
-		}
-		time.Sleep(10 * time.Millisecond)
-	}
-	t.Fatalf("aenderung wurde nicht innerhalb von %s wirksam", deadline.Sub(changedAt))
-}
-
-func TestService_InvalidateForcesImmediateRefresh(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Set(ctx, "test_invalidate_key", GlobalScope, "alt"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	svc := NewService(store, time.Hour)
-	_, _ = svc.Resolve(ctx, "", "test_invalidate_key")
-
-	if _, err := store.Set(ctx, "test_invalidate_key", GlobalScope, "neu"); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	svc.Invalidate("test_invalidate_key", "")
-
-	v, err := svc.Resolve(ctx, "", "test_invalidate_key")
-	if err != nil {
-		t.Fatalf("resolve: %v", err)
-	}
-	if v.Value != "neu" {
-		t.Fatalf("erwartet sofort sichtbaren neuen wert nach Invalidate, habe %q", v.Value)
-	}
-}
@@ -1,129 +0,0 @@
-// Package cfgservice implementiert Core CFG-01: den zentralen Dienst fuer
-// globale und tenant-spezifische Konfigurationswerte mit Versionierung und
-// Cache-Invalidierung. Andere Module lesen Konfiguration AUSSCHLIESSLICH
-// ueber dieses Paket (Akzeptanzkriterium 3), niemals ueber eigene Tabellen.
-package cfgservice
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// GlobalScope ist der reservierte Scope-Wert fuer globale Defaults — jeder
-// andere Scope-Wert ist ein Tenant-Slug (Akzeptanzkriterium 1).
-const GlobalScope = "global"
-
-var ErrNotFound = errors.New("cfgservice: kein wert fuer diesen key gefunden")
-
-type Value struct {
-	Key     string
-	Scope   string
-	Value   string
-	Version int
-}
-
-type HistoryEntry struct {
-	Key     string
-	Scope   string
-	Value   string
-	Version int
-}
-
-// Store ist die Schreib-/Verwaltungsseite. Set schreibt IMMER sowohl den
-// aktuellen Stand (config_values) als auch einen Historieneintrag
-// (config_value_history) in derselben Transaktion — eine Aenderung ohne
-// Versionshistorie ist strukturell ausgeschlossen (Akzeptanzkriterium 2).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// Set schreibt einen neuen Wert fuer (key, scope) und erhoeht die Version um 1
-// (Version 1 bei erstmaligem Setzen).
-func (s *Store) Set(ctx context.Context, key, scope, value string) (Value, error) {
-	if scope == "" {
-		return Value{}, errors.New("cfgservice: scope darf nicht leer sein")
-	}
-
-	tx, err := s.pool.Begin(ctx)
-	if err != nil {
-		return Value{}, fmt.Errorf("transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	var currentVersion int
-	err = tx.QueryRow(ctx, `SELECT version FROM config_values WHERE key = $1 AND scope = $2`, key, scope).Scan(&currentVersion)
-	if err != nil && !errors.Is(err, pgx.ErrNoRows) {
-		return Value{}, fmt.Errorf("aktuelle version lesen: %w", err)
-	}
-	newVersion := currentVersion + 1
-
-	if _, err := tx.Exec(ctx, `
-		INSERT INTO config_values (key, scope, value, version, updated_at)
-		VALUES ($1, $2, $3, $4, now())
-		ON CONFLICT (key, scope) DO UPDATE SET value = $3, version = $4, updated_at = now()
-	`, key, scope, value, newVersion); err != nil {
-		return Value{}, fmt.Errorf("wert speichern: %w", err)
-	}
-
-	if _, err := tx.Exec(ctx, `
-		INSERT INTO config_value_history (key, scope, value, version, changed_at)
-		VALUES ($1, $2, $3, $4, now())
-	`, key, scope, value, newVersion); err != nil {
-		return Value{}, fmt.Errorf("historie schreiben: %w", err)
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		return Value{}, fmt.Errorf("transaktion committen: %w", err)
-	}
-
-	return Value{Key: key, Scope: scope, Value: value, Version: newVersion}, nil
-}
-
-// Get liefert den Wert fuer GENAU EINEN Scope (kein Vorrang-Fallback) — die
-// Vorrangregel (Tenant vor Global) lebt bewusst in Service.Resolve, damit
-// Store rein CRUD bleibt.
-func (s *Store) Get(ctx context.Context, key, scope string) (Value, error) {
-	var v Value
-	v.Key, v.Scope = key, scope
-	err := s.pool.QueryRow(ctx, `
-		SELECT value, version FROM config_values WHERE key = $1 AND scope = $2
-	`, key, scope).Scan(&v.Value, &v.Version)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return Value{}, ErrNotFound
-		}
-		return Value{}, fmt.Errorf("wert lesen: %w", err)
-	}
-	return v, nil
-}
-
-// History liefert die vollstaendige Versionshistorie eines (key, scope) in
-// aufsteigender Reihenfolge (Akzeptanzkriterium 2 / Pruefung 3).
-func (s *Store) History(ctx context.Context, key, scope string) ([]HistoryEntry, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT key, scope, value, version FROM config_value_history
-		WHERE key = $1 AND scope = $2 ORDER BY version
-	`, key, scope)
-	if err != nil {
-		return nil, fmt.Errorf("historie abfragen: %w", err)
-	}
-	defer rows.Close()
-
-	var out []HistoryEntry
-	for rows.Next() {
-		var h HistoryEntry
-		if err := rows.Scan(&h.Key, &h.Scope, &h.Value, &h.Version); err != nil {
-			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
-		}
-		out = append(out, h)
-	}
-	return out, rows.Err()
-}
@@ -1,119 +0,0 @@
-package cfgservice
-
-import (
-	"context"
-	"errors"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupStoreTest(t *testing.T) (*Store, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS config_values (
-			key TEXT NOT NULL,
-			scope TEXT NOT NULL CHECK (scope <> ''),
-			value TEXT NOT NULL,
-			version INT NOT NULL,
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (key, scope)
-		);
-		CREATE TABLE IF NOT EXISTS config_value_history (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			key TEXT NOT NULL,
-			scope TEXT NOT NULL,
-			value TEXT NOT NULL,
-			version INT NOT NULL,
-			changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() {
-		_, _ = pool.Exec(ctx, `DELETE FROM config_value_history WHERE key LIKE 'test\_%' ESCAPE '\'`)
-		_, _ = pool.Exec(ctx, `DELETE FROM config_values WHERE key LIKE 'test\_%' ESCAPE '\'`)
-		pool.Close()
-	}
-	return NewStore(pool), cleanup
-}
-
-func TestStore_SetIncrementsVersion(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	v1, err := store.Set(ctx, "test_key", GlobalScope, "erster-wert")
-	if err != nil {
-		t.Fatalf("set 1: %v", err)
-	}
-	if v1.Version != 1 {
-		t.Fatalf("erwartet version 1, habe %d", v1.Version)
-	}
-
-	v2, err := store.Set(ctx, "test_key", GlobalScope, "zweiter-wert")
-	if err != nil {
-		t.Fatalf("set 2: %v", err)
-	}
-	if v2.Version != 2 {
-		t.Fatalf("erwartet version 2, habe %d", v2.Version)
-	}
-
-	got, err := store.Get(ctx, "test_key", GlobalScope)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Value != "zweiter-wert" || got.Version != 2 {
-		t.Fatalf("aktueller wert unerwartet: %+v", got)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 3: Versionierungshistorie ueber mehrere
-// Aenderungen hinweg nachvollzogen.
-func TestStore_HistoryTracksAllChanges(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	values := []string{"v1", "v2", "v3"}
-	for _, v := range values {
-		if _, err := store.Set(ctx, "test_history_key", GlobalScope, v); err != nil {
-			t.Fatalf("set %q: %v", v, err)
-		}
-	}
-
-	history, err := store.History(ctx, "test_history_key", GlobalScope)
-	if err != nil {
-		t.Fatalf("history: %v", err)
-	}
-	if len(history) != 3 {
-		t.Fatalf("erwartet 3 historieneintraege, habe %d", len(history))
-	}
-	for i, h := range history {
-		if h.Version != i+1 || h.Value != values[i] {
-			t.Fatalf("historieneintrag[%d] unerwartet: %+v", i, h)
-		}
-	}
-}
-
-func TestStore_GetUnknownKeyReturnsNotFound(t *testing.T) {
-	store, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Get(ctx, "test_nie_gesetzt", GlobalScope); !errors.Is(err, ErrNotFound) {
-		t.Fatalf("erwartet ErrNotFound, habe %v", err)
-	}
-}
@@ -1,207 +0,0 @@
-package channels
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-func setupTest(t *testing.T) (*TemplateStore, *InAppStore, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS notification_templates (
-			tenant_slug TEXT NOT NULL, key TEXT NOT NULL, subject TEXT NOT NULL, body TEXT NOT NULL,
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now(), PRIMARY KEY (tenant_slug, key)
-		);
-		CREATE TABLE IF NOT EXISTS in_app_notifications (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), tenant_slug TEXT NOT NULL, user_id TEXT NOT NULL,
-			title TEXT NOT NULL, body TEXT NOT NULL, read_at TIMESTAMPTZ, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS notification_jobs (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), channel TEXT NOT NULL, recipient TEXT NOT NULL,
-			payload JSONB NOT NULL DEFAULT '{}'::jsonb, status TEXT NOT NULL DEFAULT 'pending' CHECK (status IN ('pending','sent','failed')),
-			attempts INT NOT NULL DEFAULT 0, max_attempts INT NOT NULL DEFAULT 5,
-			next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(), last_error TEXT,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() { pool.Close() }
-	return NewTemplateStore(pool), NewInAppStore(pool), cleanup
-}
-
-func uniqueKey(prefix string) string {
-	return fmt.Sprintf("%s_%d", prefix, time.Now().UnixNano())
-}
-
-// Akzeptanzkriterium 1 + Pruefung 1: Vorlagenrendering mit fehlenden
-// Platzhaltern bricht kontrolliert ab.
-func TestRender_MissingPlaceholderAborts(t *testing.T) {
-	tmpl := Template{Subject: "Hallo {{.name}}", Body: "Dein Code: {{.code}}"}
-
-	_, _, err := Render(tmpl, map[string]any{"name": "Alice"}) // "code" fehlt
-	if err == nil {
-		t.Fatal("erwartet fehler bei fehlendem platzhalter 'code'")
-	}
-}
-
-func TestRender_SucceedsWithAllPlaceholders(t *testing.T) {
-	tmpl := Template{Subject: "Hallo {{.name}}", Body: "Dein Code: {{.code}}"}
-
-	subject, body, err := Render(tmpl, map[string]any{"name": "Alice", "code": "1234"})
-	if err != nil {
-		t.Fatalf("render: %v", err)
-	}
-	if subject != "Hallo Alice" || body != "Dein Code: 1234" {
-		t.Fatalf("unerwartet: subject=%q body=%q", subject, body)
-	}
-}
-
-// Akzeptanzkriterium 3: Vorlagen pro Tenant anpassbar, Fallback auf global.
-func TestTemplateStore_TenantOverrideFallsBackToGlobal(t *testing.T) {
-	templates, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	key := uniqueKey("welcome")
-	if err := templates.Set(ctx, GlobalTemplateScope, key, "Willkommen", "Standardtext"); err != nil {
-		t.Fatalf("set global: %v", err)
-	}
-	if err := templates.Set(ctx, "acme", key, "Willkommen bei ACME", "ACME-Text"); err != nil {
-		t.Fatalf("set tenant: %v", err)
-	}
-
-	got, err := templates.Resolve(ctx, "acme", key)
-	if err != nil {
-		t.Fatalf("resolve acme: %v", err)
-	}
-	if got.Subject != "Willkommen bei ACME" {
-		t.Fatalf("erwartet tenant-vorlage, habe %q", got.Subject)
-	}
-
-	got, err = templates.Resolve(ctx, "globex", key) // hat keine eigene vorlage
-	if err != nil {
-		t.Fatalf("resolve globex: %v", err)
-	}
-	if got.Subject != "Willkommen" {
-		t.Fatalf("erwartet global-fallback, habe %q", got.Subject)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: als gelesen markiert wird korrekt gefuehrt.
-func TestInAppStore_MarkReadIsReflectedCorrectly(t *testing.T) {
-	_, inApp, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	userID := uniqueKey("user")
-	id, err := inApp.Create(ctx, "acme", userID, "Titel", "Text")
-	if err != nil {
-		t.Fatalf("create: %v", err)
-	}
-
-	list, err := inApp.ListForUser(ctx, "acme", userID)
-	if err != nil {
-		t.Fatalf("list (vor markierung): %v", err)
-	}
-	if len(list) != 1 || list[0].ReadAt != nil {
-		t.Fatalf("erwartet 1 ungelesene benachrichtigung, habe %+v", list)
-	}
-
-	if err := inApp.MarkRead(ctx, id); err != nil {
-		t.Fatalf("mark read: %v", err)
-	}
-
-	list, err = inApp.ListForUser(ctx, "acme", userID)
-	if err != nil {
-		t.Fatalf("list (nach markierung): %v", err)
-	}
-	if len(list) != 1 || list[0].ReadAt == nil {
-		t.Fatalf("erwartet als gelesen markiert, habe %+v", list)
-	}
-}
-
-// EmailSender bricht ab, BEVOR SMTP ueberhaupt kontaktiert wird, wenn keine
-// Vorlage aufloesbar ist — Nachweis, dass der Abbruch vor dem Netzwerkzugriff
-// erfolgt (Akzeptanzkriterium 1).
-func TestEmailSender_AbortsBeforeSMTPWhenTemplateMissing(t *testing.T) {
-	templates, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	sender := NewEmailSender(templates, "nicht-aufloesbarer-smtp-host.invalid", "25", "noreply@example.com")
-
-	err := sender.Send(ctx, notify.Notification{
-		Recipient: "user@example.com",
-		Payload:   map[string]any{"template_key": uniqueKey("nie_konfiguriert"), "tenant_slug": "acme"},
-	})
-	if !errors.Is(err, ErrTemplateNotFound) {
-		t.Fatalf("erwartet ErrTemplateNotFound (kein smtp-versuch), habe %v", err)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: E-Mail-Versand bei nicht erreichbarem
-// SMTP-Server loest das dokumentierte Retry-Verhalten ueber CFG-02 aus.
-func TestEmailSender_TriggersDispatcherRetryOnUnreachableSMTP(t *testing.T) {
-	templates, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	defer pool.Close()
-
-	key := uniqueKey("retry_test")
-	if err := templates.Set(ctx, GlobalTemplateScope, key, "Betreff", "Text ohne Platzhalter"); err != nil {
-		t.Fatalf("set template: %v", err)
-	}
-
-	sender := NewEmailSender(templates, "nicht-aufloesbarer-smtp-host.invalid", "25", "noreply@example.com")
-	dispatcher := notify.NewDispatcher(pool).WithRetryPolicy(2, time.Millisecond)
-
-	jobID, err := dispatcher.Enqueue(ctx, "email", "user@example.com", map[string]any{"template_key": key, "tenant_slug": "acme"})
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	for i := 0; i < 2; i++ {
-		time.Sleep(5 * time.Millisecond)
-		if _, _, err := dispatcher.ProcessDue(ctx, sender, 10); err != nil {
-			t.Fatalf("process due %d: %v", i, err)
-		}
-	}
-
-	var status string
-	var attempts int
-	if err := pool.QueryRow(ctx, `SELECT status, attempts FROM notification_jobs WHERE id = $1`, jobID).Scan(&status, &attempts); err != nil {
-		t.Fatalf("status lesen: %v", err)
-	}
-	if status != "failed" {
-		t.Fatalf("erwartet status failed nach ausgeschoepften wiederholungen bei unerreichbarem smtp, habe %q", status)
-	}
-	if attempts != 2 {
-		t.Fatalf("erwartet 2 versuche, habe %d", attempts)
-	}
-}
@@ -1,81 +0,0 @@
-package channels
-
-import (
-	"context"
-	"fmt"
-	"net/smtp"
-	"os"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-// EmailSender implementiert notify.Sender fuer den E-Mail-Kanal
-// (Akzeptanzkriterium 1). SMTP-Zugangsdaten kommen ausschliesslich aus
-// Umgebungsvariablen, nie aus Code/DB.
-type EmailSender struct {
-	templates *TemplateStore
-	host      string
-	port      string
-	from      string
-	username  string
-	password  string
-}
-
-// NewEmailSenderFromEnv liest NEXARCH_SMTP_HOST/PORT/FROM (Pflicht) sowie
-// optional NEXARCH_SMTP_USER/PASSWORD.
-func NewEmailSenderFromEnv(templates *TemplateStore) (*EmailSender, error) {
-	host := os.Getenv("NEXARCH_SMTP_HOST")
-	port := os.Getenv("NEXARCH_SMTP_PORT")
-	from := os.Getenv("NEXARCH_SMTP_FROM")
-	if host == "" || port == "" || from == "" {
-		return nil, fmt.Errorf("channels: NEXARCH_SMTP_HOST/PORT/FROM muessen gesetzt sein")
-	}
-	return &EmailSender{
-		templates: templates,
-		host:      host,
-		port:      port,
-		from:      from,
-		username:  os.Getenv("NEXARCH_SMTP_USER"),
-		password:  os.Getenv("NEXARCH_SMTP_PASSWORD"),
-	}, nil
-}
-
-// NewEmailSender erlaubt Tests, Host/Port explizit zu setzen (z.B. einen
-// absichtlich nicht erreichbaren Host fuer den Retry-Nachweis), ohne
-// Umgebungsvariablen zu benoetigen.
-func NewEmailSender(templates *TemplateStore, host, port, from string) *EmailSender {
-	return &EmailSender{templates: templates, host: host, port: port, from: from}
-}
-
-// Send rendert zuerst die Vorlage — schlaegt das fehl (z.B. fehlender
-// Platzhalter), wird NIE eine SMTP-Verbindung aufgebaut
-// (Akzeptanzkriterium 1 / Pruefung 1: kontrollierter Abbruch statt
-// fehlerhafter Mail). Ein danach fehlschlagender SMTP-Versand liefert einen
-// Fehler zurueck, den CFG-02s Dispatcher fuer die bereits getestete
-// Wiederholungslogik nutzt (Akzeptanzkriterium 3 / Pruefung 3) — kein
-// zweiter Retry-Mechanismus hier.
-func (e *EmailSender) Send(ctx context.Context, n notify.Notification) error {
-	templateKey, _ := n.Payload["template_key"].(string)
-	tenantSlug, _ := n.Payload["tenant_slug"].(string)
-
-	tmpl, err := e.templates.Resolve(ctx, tenantSlug, templateKey)
-	if err != nil {
-		return fmt.Errorf("vorlage aufloesen: %w", err)
-	}
-	subject, body, err := Render(tmpl, n.Payload)
-	if err != nil {
-		return err
-	}
-
-	msg := []byte("Subject: " + subject + "\r\n\r\n" + body)
-
-	var auth smtp.Auth
-	if e.username != "" {
-		auth = smtp.PlainAuth("", e.username, e.password, e.host)
-	}
-	addr := e.host + ":" + e.port
-	if err := smtp.SendMail(addr, auth, e.from, []string{n.Recipient}, msg); err != nil {
-		return fmt.Errorf("smtp-versand fehlgeschlagen: %w", err)
-	}
-	return nil
-}
@@ -1,74 +0,0 @@
-package channels
-
-import (
-	"context"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-type InAppNotification struct {
-	ID         string
-	TenantSlug string
-	UserID     string
-	Title      string
-	Body       string
-	ReadAt     *time.Time
-	CreatedAt  time.Time
-}
-
-// InAppStore persistiert In-App-Benachrichtigungen (Akzeptanzkriterium 2).
-type InAppStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewInAppStore(pool *pgxpool.Pool) *InAppStore {
-	return &InAppStore{pool: pool}
-}
-
-func (s *InAppStore) Create(ctx context.Context, tenantSlug, userID, title, body string) (string, error) {
-	var id string
-	err := s.pool.QueryRow(ctx, `
-		INSERT INTO in_app_notifications (tenant_slug, user_id, title, body)
-		VALUES ($1, $2, $3, $4)
-		RETURNING id
-	`, tenantSlug, userID, title, body).Scan(&id)
-	if err != nil {
-		return "", fmt.Errorf("in-app-benachrichtigung speichern: %w", err)
-	}
-	return id, nil
-}
-
-// ListForUser liefert alle Benachrichtigungen eines Benutzers (ueber API
-// abrufbar, Akzeptanzkriterium 2).
-func (s *InAppStore) ListForUser(ctx context.Context, tenantSlug, userID string) ([]InAppNotification, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, title, body, read_at, created_at FROM in_app_notifications
-		WHERE tenant_slug = $1 AND user_id = $2 ORDER BY created_at DESC
-	`, tenantSlug, userID)
-	if err != nil {
-		return nil, fmt.Errorf("benachrichtigungen auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []InAppNotification
-	for rows.Next() {
-		n := InAppNotification{TenantSlug: tenantSlug, UserID: userID}
-		if err := rows.Scan(&n.ID, &n.Title, &n.Body, &n.ReadAt, &n.CreatedAt); err != nil {
-			return nil, fmt.Errorf("benachrichtigung lesen: %w", err)
-		}
-		out = append(out, n)
-	}
-	return out, rows.Err()
-}
-
-// MarkRead markiert eine Benachrichtigung als gelesen (Akzeptanzkriterium 2
-// / Pruefung 2).
-func (s *InAppStore) MarkRead(ctx context.Context, id string) error {
-	_, err := s.pool.Exec(ctx, `UPDATE in_app_notifications SET read_at = now() WHERE id = $1`, id)
-	if err != nil {
-		return fmt.Errorf("als gelesen markieren: %w", err)
-	}
-	return nil
-}
@@ -1,41 +0,0 @@
-package channels
-
-import (
-	"context"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-// InAppSender implementiert notify.Sender fuer den In-App-Kanal
-// (Akzeptanzkriterium 2). Nutzt eine Vorlage, falls payload["template_key"]
-// gesetzt ist, sonst direkt payload["title"]/["body"].
-type InAppSender struct {
-	store     *InAppStore
-	templates *TemplateStore
-}
-
-func NewInAppSender(store *InAppStore, templates *TemplateStore) *InAppSender {
-	return &InAppSender{store: store, templates: templates}
-}
-
-func (s *InAppSender) Send(ctx context.Context, n notify.Notification) error {
-	tenantSlug, _ := n.Payload["tenant_slug"].(string)
-
-	var title, body string
-	if templateKey, ok := n.Payload["template_key"].(string); ok && templateKey != "" {
-		tmpl, err := s.templates.Resolve(ctx, tenantSlug, templateKey)
-		if err != nil {
-			return err
-		}
-		title, body, err = Render(tmpl, n.Payload)
-		if err != nil {
-			return err
-		}
-	} else {
-		title, _ = n.Payload["title"].(string)
-		body, _ = n.Payload["body"].(string)
-	}
-
-	_, err := s.store.Create(ctx, tenantSlug, n.Recipient, title, body)
-	return err
-}
@@ -1,32 +0,0 @@
-package channels
-
-import (
-	"context"
-	"fmt"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-// Router waehlt anhand von Notification.Channel den zustaendigen Kanal aus
-// — ein neuer Kanal wird per Register() ergaenzt, ohne den Dispatcher
-// (CFG-02) oder Router selbst umzubauen (Unleash-artiger Strategie-Gedanke,
-// siehe Ticket-DNA).
-type Router struct {
-	channels map[string]notify.Sender
-}
-
-func NewRouter() *Router {
-	return &Router{channels: make(map[string]notify.Sender)}
-}
-
-func (r *Router) Register(channel string, sender notify.Sender) {
-	r.channels[channel] = sender
-}
-
-func (r *Router) Send(ctx context.Context, n notify.Notification) error {
-	sender, ok := r.channels[n.Channel]
-	if !ok {
-		return fmt.Errorf("channels: unbekannter kanal %q", n.Channel)
-	}
-	return sender.Send(ctx, n)
-}
@@ -1,104 +0,0 @@
-// Package channels implementiert Core CFG-03: konkrete Zustellkanaele fuer
-// den CFG-02-Dispatcher (E-Mail, In-App) inklusive Vorlagenverwaltung.
-// Neue Kanaele lassen sich ergaenzen, ohne den Dispatcher selbst
-// anzufassen — jeder Kanal implementiert nur notify.Sender.
-package channels
-
-import (
-	"bytes"
-	"context"
-	"errors"
-	"fmt"
-	"text/template"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// GlobalTemplateScope ist der Fallback-Wert, wenn ein Tenant keine eigene
-// Vorlage konfiguriert hat (Akzeptanzkriterium 3).
-const GlobalTemplateScope = "global"
-
-var ErrTemplateNotFound = errors.New("channels: keine vorlage gefunden")
-
-type Template struct {
-	Subject string
-	Body    string
-}
-
-type TemplateStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewTemplateStore(pool *pgxpool.Pool) *TemplateStore {
-	return &TemplateStore{pool: pool}
-}
-
-// Set legt eine Vorlage fuer einen Tenant (oder GlobalTemplateScope) fest.
-func (s *TemplateStore) Set(ctx context.Context, tenantSlug, key, subject, body string) error {
-	_, err := s.pool.Exec(ctx, `
-		INSERT INTO notification_templates (tenant_slug, key, subject, body, updated_at)
-		VALUES ($1, $2, $3, $4, now())
-		ON CONFLICT (tenant_slug, key) DO UPDATE SET subject = $3, body = $4, updated_at = now()
-	`, tenantSlug, key, subject, body)
-	if err != nil {
-		return fmt.Errorf("vorlage speichern: %w", err)
-	}
-	return nil
-}
-
-// Resolve liefert die Vorlage eines Tenants, faellt auf GlobalTemplateScope
-// zurueck, wenn der Tenant keine eigene gesetzt hat (Akzeptanzkriterium 3).
-func (s *TemplateStore) Resolve(ctx context.Context, tenantSlug, key string) (Template, error) {
-	if tenantSlug != "" && tenantSlug != GlobalTemplateScope {
-		if t, err := s.get(ctx, tenantSlug, key); err == nil {
-			return t, nil
-		} else if !errors.Is(err, ErrTemplateNotFound) {
-			return Template{}, err
-		}
-	}
-	return s.get(ctx, GlobalTemplateScope, key)
-}
-
-func (s *TemplateStore) get(ctx context.Context, tenantSlug, key string) (Template, error) {
-	var t Template
-	err := s.pool.QueryRow(ctx, `
-		SELECT subject, body FROM notification_templates WHERE tenant_slug = $1 AND key = $2
-	`, tenantSlug, key).Scan(&t.Subject, &t.Body)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return Template{}, ErrTemplateNotFound
-		}
-		return Template{}, fmt.Errorf("vorlage lesen: %w", err)
-	}
-	return t, nil
-}
-
-// Render fuellt eine Vorlage mit data. Fehlt ein referenzierter Platzhalter
-// in data, bricht das Rendering kontrolliert MIT FEHLER ab, statt eine
-// fehlerhafte/unvollstaendige Nachricht zu erzeugen (Akzeptanzkriterium 1 /
-// Pruefung 1) — text/template mit Option("missingkey=error") liefert dafuer
-// einen Fehler statt stillschweigend "<no value>" einzusetzen.
-func Render(tmpl Template, data map[string]any) (subject, body string, err error) {
-	subject, err = renderOne("subject", tmpl.Subject, data)
-	if err != nil {
-		return "", "", err
-	}
-	body, err = renderOne("body", tmpl.Body, data)
-	if err != nil {
-		return "", "", err
-	}
-	return subject, body, nil
-}
-
-func renderOne(name, text string, data map[string]any) (string, error) {
-	tmpl, err := template.New(name).Option("missingkey=error").Parse(text)
-	if err != nil {
-		return "", fmt.Errorf("vorlage %q parsen: %w", name, err)
-	}
-	var buf bytes.Buffer
-	if err := tmpl.Execute(&buf, data); err != nil {
-		return "", fmt.Errorf("vorlage %q rendern (fehlender platzhalter?): %w", name, err)
-	}
-	return buf.String(), nil
-}
@@ -0,0 +1,87 @@
+// Package flag implementiert Core LIC-02: einen Feature-Flag-Dienst mit
+// Strategien (global an/aus, Prozentsatz, Tenant-Zielgruppe) als Kernfunktion
+// des Core-Dienstes selbst — keine zusaetzliche Infrastruktur (Unleash-Server
+// + eigene DB), siehe "bewusst vermeiden" im LIC-02-Ticket.
+package flag
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"hash/fnv"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+var ErrNotFound = errors.New("flag: nicht gefunden")
+
+// Flag ist die zentrale Definition — Auswertung (Evaluate) ist bewusst davon
+// getrennt (Unleash-Prinzip: Flag-Verwaltung vs. Flag-Auswertung).
+type Flag struct {
+	Key               string
+	Enabled           bool
+	RolloutPercentage int
+	TargetTenantSlugs []string
+}
+
+// Store ist die Verwaltungsseite (Admin): Flags definieren/lesen.
+type Store struct {
+	pool *pgxpool.Pool
+}
+
+func NewStore(pool *pgxpool.Pool) *Store {
+	return &Store{pool: pool}
+}
+
+func (s *Store) Set(ctx context.Context, f Flag) error {
+	if f.TargetTenantSlugs == nil {
+		f.TargetTenantSlugs = []string{} // pgx uebertraegt ein nil-Slice sonst als SQL NULL statt leerem Array.
+	}
+	_, err := s.pool.Exec(ctx, `
+		INSERT INTO feature_flags (key, enabled, rollout_percentage, target_tenant_slugs, updated_at)
+		VALUES ($1, $2, $3, $4, now())
+		ON CONFLICT (key) DO UPDATE SET
+			enabled = $2, rollout_percentage = $3, target_tenant_slugs = $4, updated_at = now()
+	`, f.Key, f.Enabled, f.RolloutPercentage, f.TargetTenantSlugs)
+	if err != nil {
+		return fmt.Errorf("flag speichern: %w", err)
+	}
+	return nil
+}
+
+func (s *Store) Get(ctx context.Context, key string) (Flag, error) {
+	var f Flag
+	row := s.pool.QueryRow(ctx, `
+		SELECT key, enabled, rollout_percentage, target_tenant_slugs
+		FROM feature_flags WHERE key = $1
+	`, key)
+	if err := row.Scan(&f.Key, &f.Enabled, &f.RolloutPercentage, &f.TargetTenantSlugs); err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return Flag{}, ErrNotFound
+		}
+		return Flag{}, fmt.Errorf("flag lesen: %w", err)
+	}
+	return f, nil
+}
+
+// evaluate wendet die Strategien in fester Reihenfolge an: globaler
+// An/Aus-Schalter zuerst, dann Tenant-Zielgruppe, dann Prozentsatz-Rollout.
+// Ein unbekannter/nicht getroffener Fall ergibt false — Fail-Safe-Default,
+// kein Feature wird versehentlich aktiv.
+func evaluate(f Flag, tenantSlug string) bool {
+	if f.Enabled {
+		return true
+	}
+	for _, target := range f.TargetTenantSlugs {
+		if target == tenantSlug {
+			return true
+		}
+	}
+	if f.RolloutPercentage > 0 {
+		h := fnv.New32a()
+		_, _ = h.Write([]byte(f.Key + "|" + tenantSlug))
+		return int(h.Sum32()%100) < f.RolloutPercentage
+	}
+	return false
+}
@@ -0,0 +1,43 @@
+package flag
+
+import "testing"
+
+func TestEvaluate_GlobalEnabled(t *testing.T) {
+	f := Flag{Key: "k", Enabled: true}
+	if !evaluate(f, "irgendein-tenant") {
+		t.Fatal("global aktiviertes flag sollte fuer jeden tenant true liefern")
+	}
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: Zielgruppen-Strategie.
+func TestEvaluate_TargetTenantStrategy(t *testing.T) {
+	f := Flag{Key: "k", Enabled: false, TargetTenantSlugs: []string{"acme"}}
+	if !evaluate(f, "acme") {
+		t.Fatal("erwartet true fuer tenant in zielgruppe")
+	}
+	if evaluate(f, "globex") {
+		t.Fatal("erwartet false fuer tenant ausserhalb der zielgruppe")
+	}
+}
+
+func TestEvaluate_RolloutPercentageBoundaries(t *testing.T) {
+	full := Flag{Key: "k", RolloutPercentage: 100}
+	if !evaluate(full, "beliebiger-tenant-1") || !evaluate(full, "beliebiger-tenant-2") {
+		t.Fatal("100% rollout sollte immer true liefern")
+	}
+
+	none := Flag{Key: "k", RolloutPercentage: 0}
+	if evaluate(none, "beliebiger-tenant") {
+		t.Fatal("0% rollout ohne enabled/zielgruppe sollte false liefern")
+	}
+}
+
+func TestEvaluate_RolloutIsDeterministicPerTenant(t *testing.T) {
+	f := Flag{Key: "k", RolloutPercentage: 50}
+	first := evaluate(f, "stabiler-tenant")
+	for i := 0; i < 5; i++ {
+		if evaluate(f, "stabiler-tenant") != first {
+			t.Fatal("rollout-auswertung sollte fuer denselben tenant/key stabil sein")
+		}
+	}
+}
@@ -0,0 +1,87 @@
+package flag
+
+import (
+	"context"
+	"log/slog"
+	"sync"
+	"time"
+)
+
+// DefaultCacheTTL ist die dokumentierte Cache-Invalidierungszeit
+// (Akzeptanzkriterium 2/3): eine Aenderung wirkt spaetestens nach dieser
+// Zeit auf allen Core-Instanzen, ohne dass ein Dienst neu gestartet werden
+// muss (Akzeptanzkriterium 3).
+const DefaultCacheTTL = 5 * time.Second
+
+type cacheEntry struct {
+	flag      Flag
+	expiresAt time.Time
+}
+
+// Service ist die Auswertungsseite (SDK/Client-Analogon zu Unleash) mit
+// lokalem TTL-Cache. Bewusst getrennt von Store (Verwaltung).
+type Service struct {
+	store *Store
+	ttl   time.Duration
+
+	mu    sync.RWMutex
+	cache map[string]cacheEntry
+}
+
+func NewService(store *Store, ttl time.Duration) *Service {
+	if ttl <= 0 {
+		ttl = DefaultCacheTTL
+	}
+	return &Service{store: store, ttl: ttl, cache: make(map[string]cacheEntry)}
+}
+
+// IsEnabled wertet ein Flag fuer einen Tenant aus. Liefert IMMER einen
+// bool ohne Fehlerwert — ein nicht erreichbarer Flag-Dienst darf abhaengige
+// Aufrufer nicht zum Absturz bringen oder zu Fehlerbehandlungscode zwingen,
+// der leicht vergessen wird (Akzeptanzkriterium 3 / Pruefung 3: dokumentiertes
+// Fallback-Verhalten = false, ggf. aus dem zuletzt bekannten Zwischenspeicher).
+func (s *Service) IsEnabled(ctx context.Context, tenantSlug, key string) bool {
+	f, ok := s.resolve(ctx, key)
+	if !ok {
+		return false
+	}
+	return evaluate(f, tenantSlug)
+}
+
+func (s *Service) resolve(ctx context.Context, key string) (Flag, bool) {
+	s.mu.RLock()
+	entry, exists := s.cache[key]
+	fresh := exists && time.Now().Before(entry.expiresAt)
+	s.mu.RUnlock()
+	if fresh {
+		return entry.flag, true
+	}
+
+	f, err := s.store.Get(ctx, key)
+	if err != nil {
+		if exists {
+			slog.Warn("feature-flag-dienst nicht erreichbar, nutze zwischengespeicherten stand",
+				"flag_key", key, "error", err)
+			return entry.flag, true
+		}
+		slog.Warn("feature-flag-dienst nicht erreichbar, kein zwischengespeicherter stand vorhanden, fallback: deaktiviert",
+			"flag_key", key, "error", err)
+		return Flag{}, false
+	}
+
+	s.mu.Lock()
+	s.cache[key] = cacheEntry{flag: f, expiresAt: time.Now().Add(s.ttl)}
+	s.mu.Unlock()
+	return f, true
+}
+
+// Invalidate erzwingt beim naechsten IsEnabled-Aufruf ein sofortiges Neuladen
+// aus der Datenbank statt auf den TTL-Ablauf zu warten — wird nach Store.Set
+// auf derselben Instanz aufgerufen, damit der Schreiber die eigene Aenderung
+// ohne Wartezeit sieht. Andere Core-Instanzen sehen sie spaetestens nach
+// DefaultCacheTTL (siehe Akzeptanzkriterium 3).
+func (s *Service) Invalidate(key string) {
+	s.mu.Lock()
+	delete(s.cache, key)
+	s.mu.Unlock()
+}
@@ -0,0 +1,179 @@
+package flag
+
+import (
+	"context"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func setupFlagStoreTest(t *testing.T) (*Store, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS feature_flags (
+			key TEXT PRIMARY KEY,
+			enabled BOOLEAN NOT NULL DEFAULT false,
+			rollout_percentage INT NOT NULL DEFAULT 0,
+			target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		)`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() {
+		_, _ = pool.Exec(ctx, `DELETE FROM feature_flags WHERE key LIKE 'test\_%' ESCAPE '\'`)
+		pool.Close()
+	}
+	return NewStore(pool), cleanup
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: Zielgruppen-Strategie liefert im Test
+// die erwartete Auswertung.
+func TestService_TargetTenantStrategy(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := store.Set(ctx, Flag{Key: "test_target_flag", TargetTenantSlugs: []string{"acme"}}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, time.Hour)
+
+	if !svc.IsEnabled(ctx, "acme", "test_target_flag") {
+		t.Fatal("erwartet true fuer tenant in zielgruppe")
+	}
+	if svc.IsEnabled(ctx, "globex", "test_target_flag") {
+		t.Fatal("erwartet false fuer tenant ausserhalb der zielgruppe")
+	}
+}
+
+// Akzeptanzkriterium 2 + 3 + Pruefung 1: Flag-Aenderung wirkt innerhalb der
+// dokumentierten Cache-Invalidierungszeit, automatisiert gemessen.
+func TestService_CacheInvalidationTiming(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	const ttl = 150 * time.Millisecond
+	if err := store.Set(ctx, Flag{Key: "test_ttl_flag", Enabled: false}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, ttl)
+
+	if svc.IsEnabled(ctx, "acme", "test_ttl_flag") {
+		t.Fatal("erwartet false vor der aenderung")
+	}
+
+	// Aenderung "auf einer anderen instanz" simulieren: direkt ueber den
+	// Store, ohne svc.Invalidate aufzurufen.
+	changedAt := time.Now()
+	if err := store.Set(ctx, Flag{Key: "test_ttl_flag", Enabled: true}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+
+	// Sofort danach sollte der Cache noch den alten Stand liefern.
+	if svc.IsEnabled(ctx, "acme", "test_ttl_flag") {
+		t.Fatal("cache haette den alten (false) stand liefern sollen, direkt nach der aenderung")
+	}
+
+	deadline := changedAt.Add(ttl + 100*time.Millisecond)
+	for time.Now().Before(deadline) {
+		if svc.IsEnabled(ctx, "acme", "test_ttl_flag") {
+			elapsed := time.Since(changedAt)
+			t.Logf("aenderung wurde nach %s wirksam (ziel: innerhalb %s + toleranz)", elapsed, ttl)
+			return
+		}
+		time.Sleep(10 * time.Millisecond)
+	}
+	t.Fatalf("aenderung wurde nicht innerhalb von %s wirksam", deadline.Sub(changedAt))
+}
+
+func TestService_InvalidateForcesImmediateRefresh(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := store.Set(ctx, Flag{Key: "test_invalidate_flag", Enabled: false}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, time.Hour) // lange TTL, damit Invalidate den unterschied macht
+	_ = svc.IsEnabled(ctx, "acme", "test_invalidate_flag")
+
+	if err := store.Set(ctx, Flag{Key: "test_invalidate_flag", Enabled: true}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc.Invalidate("test_invalidate_flag")
+
+	if !svc.IsEnabled(ctx, "acme", "test_invalidate_flag") {
+		t.Fatal("erwartet sofort sichtbaren neuen stand nach Invalidate")
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: Ausfall des Flag-Dienstes fuehrt zu
+// dokumentiertem Fallback-Verhalten, nicht zum Absturz.
+func TestService_FallsBackOnStoreFailure(t *testing.T) {
+	store, cleanup := setupFlagStoreTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := store.Set(ctx, Flag{Key: "test_fallback_flag", Enabled: true}); err != nil {
+		t.Fatalf("set: %v", err)
+	}
+	svc := NewService(store, time.Hour)
+
+	// Cache vorwaermen, waehrend die DB noch erreichbar ist.
+	if !svc.IsEnabled(ctx, "acme", "test_fallback_flag") {
+		t.Fatal("erwartet true bei funktionierender db")
+	}
+
+	brokenPool, err := pgxpool.New(ctx, "postgresql://nonexistent-host-fuer-test:5432/x?connect_timeout=1")
+	if err != nil {
+		t.Fatalf("broken pool erstellen (sollte nicht sofort verbinden): %v", err)
+	}
+	brokenStore := NewStore(brokenPool)
+
+	svcWithCache := NewService(brokenStore, time.Nanosecond) // TTL sofort abgelaufen, erzwingt reload-versuch
+	svcWithCache.mu.Lock()
+	svcWithCache.cache["test_fallback_flag"] = cacheEntry{
+		flag:      Flag{Key: "test_fallback_flag", Enabled: true},
+		expiresAt: time.Now().Add(-time.Hour), // bereits abgelaufen
+	}
+	svcWithCache.mu.Unlock()
+
+	func() {
+		defer func() {
+			if r := recover(); r != nil {
+				t.Fatalf("IsEnabled hat gepanict statt einen fallback zu liefern: %v", r)
+			}
+		}()
+		if !svcWithCache.IsEnabled(ctx, "acme", "test_fallback_flag") {
+			t.Fatal("erwartet fallback auf zwischengespeicherten (true) stand bei db-ausfall")
+		}
+	}()
+
+	// Voellig frischer Dienst ohne jeglichen cache + kaputte db -> sicherer
+	// default false, kein absturz.
+	freshSvc := NewService(brokenStore, time.Hour)
+	func() {
+		defer func() {
+			if r := recover(); r != nil {
+				t.Fatalf("IsEnabled hat gepanict: %v", r)
+			}
+		}()
+		if freshSvc.IsEnabled(ctx, "acme", "test_fallback_flag") {
+			t.Fatal("erwartet fail-safe false ohne cache und mit kaputter db")
+		}
+	}()
+}
@@ -0,0 +1,113 @@
+package kek
+
+import (
+	"context"
+	"encoding/base64"
+	"encoding/json"
+	"errors"
+	"net/http"
+)
+
+// CredentialAuthenticator ist die schmale Schnittstelle zu API-02s
+// Service-Credential-Pruefung (internal/moduleregistry.Registry.Authenticate).
+type CredentialAuthenticator interface {
+	Authenticate(ctx context.Context, clientID, secret string) (moduleName string, ok bool, err error)
+}
+
+// ModuleActivationChecker ist die schmale Schnittstelle zu API-02s
+// Aktivierungspruefung (internal/moduleregistry.Registry.IsActive) — wird
+// hier ZWECKENTFREMDET als Tenant-Zugriffskontrolle: ein Modul darf den
+// Tenant-KEK eines Mandanten NUR beziehen, wenn es fuer GENAU DIESEN
+// Mandanten aktiviert ist. Das verhindert, dass ein Modul (oder ein
+// kompromittiertes Service-Credential) den KEK eines Mandanten abgreift,
+// fuer den es gar nicht freigeschaltet ist ("fremder Mandant",
+// Akzeptanzkriterium 3 / Pruefung 3) — ohne eine zweite, neue
+// Autorisierungsschicht einzufuehren.
+type ModuleActivationChecker interface {
+	IsActive(ctx context.Context, tenantSlug, moduleName string) (bool, error)
+}
+
+// TenantResolver loest einen Tenant-Slug in seine interne ID auf
+// (internal/tenant.Registry.GetBySlug, TEN-01).
+type TenantResolver interface {
+	ResolveTenantID(ctx context.Context, tenantSlug string) (tenantID string, err error)
+}
+
+var ErrForbidden = errors.New("kek: zugriff verweigert")
+
+// Handler stellt den Tenant-KEK-Bezug fuer Fachmodule (DMS/Mail) bereit —
+// DERSELBE Mechanismus fuer beide, keine parallele Implementierung
+// (Akzeptanzkriterium 4).
+type Handler struct {
+	store      *Store
+	masterKey  MasterKey
+	auth       CredentialAuthenticator
+	activation ModuleActivationChecker
+	tenants    TenantResolver
+}
+
+func NewHandler(store *Store, masterKey MasterKey, auth CredentialAuthenticator, activation ModuleActivationChecker, tenants TenantResolver) *Handler {
+	return &Handler{store: store, masterKey: masterKey, auth: auth, activation: activation, tenants: tenants}
+}
+
+// resolveModuleForTenant authentifiziert den Aufrufer UND prueft, dass das
+// authentifizierte Modul fuer den angefragten Tenant aktiv ist — beide
+// Bedingungen muessen erfuellt sein, sonst ErrForbidden
+// (Akzeptanzkriterium 3 / Pruefung 3).
+func (h *Handler) resolveModuleForTenant(ctx context.Context, clientID, secret, tenantSlug string) error {
+	moduleName, ok, err := h.auth.Authenticate(ctx, clientID, secret)
+	if err != nil {
+		return err
+	}
+	if !ok {
+		return ErrForbidden
+	}
+	active, err := h.activation.IsActive(ctx, tenantSlug, moduleName)
+	if err != nil {
+		return err
+	}
+	if !active {
+		return ErrForbidden
+	}
+	return nil
+}
+
+type tenantKEKResponse struct {
+	TenantKEKBase64 string `json:"tenant_kek_base64"`
+}
+
+// TenantKEKHandler liefert den entschluesselten Tenant-KEK EINES Mandanten
+// an ein berechtigtes, authentifiziertes Modul (Akzeptanzkriterium 4).
+func (h *Handler) TenantKEKHandler(w http.ResponseWriter, r *http.Request) {
+	clientID := r.Header.Get("X-Nexarch-Client-Id")
+	secret := r.Header.Get("X-Nexarch-Client-Secret")
+	tenantSlug := r.URL.Query().Get("tenant")
+	if tenantSlug == "" {
+		http.Error(w, "tenant-parameter fehlt", http.StatusBadRequest)
+		return
+	}
+
+	if err := h.resolveModuleForTenant(r.Context(), clientID, secret, tenantSlug); err != nil {
+		if errors.Is(err, ErrForbidden) {
+			http.Error(w, "zugriff auf diesen mandanten verweigert", http.StatusForbidden)
+			return
+		}
+		http.Error(w, "interner fehler", http.StatusInternalServerError)
+		return
+	}
+
+	tenantID, err := h.tenants.ResolveTenantID(r.Context(), tenantSlug)
+	if err != nil {
+		http.Error(w, "mandant nicht gefunden", http.StatusNotFound)
+		return
+	}
+
+	plainKEK, err := h.store.GetDecrypted(r.Context(), tenantID, h.masterKey)
+	if err != nil {
+		http.Error(w, "tenant-kek konnte nicht ermittelt werden", http.StatusInternalServerError)
+		return
+	}
+
+	w.Header().Set("Content-Type", "application/json")
+	_ = json.NewEncoder(w).Encode(tenantKEKResponse{TenantKEKBase64: base64.StdEncoding.EncodeToString(plainKEK)})
+}
@@ -0,0 +1,350 @@
+package kek
+
+import (
+	"bytes"
+	"context"
+	"encoding/base64"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"strings"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+	"gitea.perlbach24.de/scripte/nexarch/internal/moduleregistry"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
+)
+
+func setupTest(t *testing.T) (*Store, *pgxpool.Pool, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), slug TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE, db_dsn TEXT NOT NULL, status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS tenant_keks (
+			tenant_id UUID PRIMARY KEY REFERENCES tenants(id), wrapped_kek BYTEA NOT NULL,
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), rotated_at TIMESTAMPTZ
+		);
+		CREATE TABLE IF NOT EXISTS feature_flags (
+			key TEXT PRIMARY KEY, enabled BOOLEAN NOT NULL DEFAULT false,
+			rollout_percentage INT NOT NULL DEFAULT 0, target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS modules (
+			name TEXT PRIMARY KEY, version TEXT NOT NULL CHECK (version <> ''),
+			required_flags TEXT[] NOT NULL DEFAULT '{}', registered_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS module_credentials (
+			module_name TEXT PRIMARY KEY REFERENCES modules(name),
+			client_id TEXT NOT NULL UNIQUE, secret_hash BYTEA NOT NULL,
+			issued_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() { pool.Close() }
+	return NewStore(pool), pool, cleanup
+}
+
+func newMasterKey(t *testing.T) MasterKey {
+	t.Helper()
+	key, err := generateRandomKey()
+	if err != nil {
+		t.Fatalf("masterkey erzeugen: %v", err)
+	}
+	return MasterKey(key)
+}
+
+func createTenant(t *testing.T, pool *pgxpool.Pool, slug string) string {
+	t.Helper()
+	var id string
+	err := pool.QueryRow(context.Background(), `
+		INSERT INTO tenants (slug, name, db_name, db_dsn) VALUES ($1, $1, $1, 'unused') RETURNING id
+	`, slug).Scan(&id)
+	if err != nil {
+		t.Fatalf("tenant anlegen: %v", err)
+	}
+	return id
+}
+
+func uniqueSlug(prefix string) string {
+	return fmt.Sprintf("%s_%d", prefix, time.Now().UnixNano())
+}
+
+// Akzeptanzkriterium 1: LoadMasterKeyFromEnv liest ausschliesslich aus der
+// Umgebungsvariable, niemals aus Code/DB.
+func TestLoadMasterKeyFromEnv(t *testing.T) {
+	const envVar = "NEXARCH_TEST_MASTER_KEY_API10"
+	t.Cleanup(func() { os.Unsetenv(envVar) })
+
+	if _, err := LoadMasterKeyFromEnv(envVar); err == nil {
+		t.Fatal("erwartet fehler, wenn umgebungsvariable nicht gesetzt ist")
+	}
+
+	os.Setenv(envVar, "zu-kurz")
+	if _, err := LoadMasterKeyFromEnv(envVar); err == nil {
+		t.Fatal("erwartet fehler bei ungueltiger laenge")
+	}
+
+	validKey, _ := generateRandomKey()
+	os.Setenv(envVar, base64.StdEncoding.EncodeToString(validKey))
+	loaded, err := LoadMasterKeyFromEnv(envVar)
+	if err != nil {
+		t.Fatalf("laden mit gueltigem key: %v", err)
+	}
+	if !bytes.Equal(loaded, validKey) {
+		t.Fatal("geladener master-key stimmt nicht mit dem gesetzten ueberein")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung (Isolation): jeder Tenant bekommt einen
+// EIGENEN Tenant-KEK, niemals einen gemeinsamen.
+func TestCreateForTenant_EachTenantGetsDistinctKEK(t *testing.T) {
+	store, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	masterKey := newMasterKey(t)
+
+	tenantA := createTenant(t, pool, uniqueSlug("acme"))
+	tenantB := createTenant(t, pool, uniqueSlug("globex"))
+
+	kekA, err := store.CreateForTenant(ctx, tenantA, masterKey)
+	if err != nil {
+		t.Fatalf("create a: %v", err)
+	}
+	kekB, err := store.CreateForTenant(ctx, tenantB, masterKey)
+	if err != nil {
+		t.Fatalf("create b: %v", err)
+	}
+	if bytes.Equal(kekA, kekB) {
+		t.Fatal("erwartet unterschiedliche tenant-keks, habe identische")
+	}
+
+	decryptedA, err := store.GetDecrypted(ctx, tenantA, masterKey)
+	if err != nil {
+		t.Fatalf("decrypt a: %v", err)
+	}
+	if !bytes.Equal(decryptedA, kekA) {
+		t.Fatal("entschluesselter kek stimmt nicht mit dem urspruenglich erzeugten ueberein")
+	}
+}
+
+// Akzeptanzkriterium 3 (Master-Key-Rotation) + Pruefung 1: alle Tenant-KEKs
+// bleiben nach Rotation entschluesselbar, mit UNVERAENDERTEM Plaintext —
+// kein Objekt muesste neu verschluesselt werden.
+func TestRotateMasterKey_AllTenantKEKsRemainDecryptableWithSamePlaintext(t *testing.T) {
+	store, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	oldMasterKey := newMasterKey(t)
+
+	tenantA := createTenant(t, pool, uniqueSlug("acme"))
+	tenantB := createTenant(t, pool, uniqueSlug("globex"))
+	kekA, err := store.CreateForTenant(ctx, tenantA, oldMasterKey)
+	if err != nil {
+		t.Fatalf("create a: %v", err)
+	}
+	kekB, err := store.CreateForTenant(ctx, tenantB, oldMasterKey)
+	if err != nil {
+		t.Fatalf("create b: %v", err)
+	}
+
+	newMasterKeyVal := newMasterKey(t)
+	_, failed, err := store.RotateMasterKey(ctx, oldMasterKey, newMasterKeyVal)
+	if err != nil {
+		t.Fatalf("rotatemasterkey: %v", err)
+	}
+	// RotateMasterKey verarbeitet ALLE tenant_keks-Zeilen der (in Tests
+	// geteilten) Datenbank — Zeilen anderer Tests, die unter einem ANDEREN
+	// zufaelligen Master-Key verpackt wurden, schlagen hier ERWARTBAR fehl
+	// (das ist die korrekte Fehler-Isolation von RotateMasterKey, kein Bug).
+	// Relevant ist nur, dass GENAU DIESE beiden Tenants NICHT scheitern.
+	for _, id := range failed {
+		if id == tenantA || id == tenantB {
+			t.Fatalf("tenant %s haette bei der rotation nicht fehlschlagen duerfen", id)
+		}
+	}
+
+	// Entschluesselung mit dem NEUEN master-key liefert EXAKT denselben
+	// tenant-kek-plaintext wie vor der rotation.
+	afterA, err := store.GetDecrypted(ctx, tenantA, newMasterKeyVal)
+	if err != nil {
+		t.Fatalf("decrypt a nach rotation: %v", err)
+	}
+	if !bytes.Equal(afterA, kekA) {
+		t.Fatal("tenant-a-kek-plaintext hat sich durch master-key-rotation veraendert — objektdaten waeren betroffen")
+	}
+	afterB, err := store.GetDecrypted(ctx, tenantB, newMasterKeyVal)
+	if err != nil {
+		t.Fatalf("decrypt b nach rotation: %v", err)
+	}
+	if !bytes.Equal(afterB, kekB) {
+		t.Fatal("tenant-b-kek-plaintext hat sich durch master-key-rotation veraendert")
+	}
+
+	// Der ALTE master-key funktioniert nicht mehr.
+	if _, err := store.GetDecrypted(ctx, tenantA, oldMasterKey); err == nil {
+		t.Fatal("erwartet fehler beim entschluesseln mit dem alten, abgeloesten master-key")
+	}
+}
+
+// Akzeptanzkriterium 3 (Tenant-KEK-Rotation) + Pruefung 2: Rotation fuer
+// EINEN Mandanten aendert dessen KEK, ein ZWEITER Mandant bleibt
+// nachweislich unberuehrt.
+func TestRotateTenantKEK_OnlyAffectsThatTenant(t *testing.T) {
+	store, pool, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	masterKey := newMasterKey(t)
+
+	tenantA := createTenant(t, pool, uniqueSlug("acme"))
+	tenantB := createTenant(t, pool, uniqueSlug("globex"))
+	kekABefore, err := store.CreateForTenant(ctx, tenantA, masterKey)
+	if err != nil {
+		t.Fatalf("create a: %v", err)
+	}
+	kekBBefore, err := store.CreateForTenant(ctx, tenantB, masterKey)
+	if err != nil {
+		t.Fatalf("create b: %v", err)
+	}
+
+	kekAAfter, err := store.RotateTenantKEK(ctx, tenantA, masterKey)
+	if err != nil {
+		t.Fatalf("rotatetenantkek: %v", err)
+	}
+	if bytes.Equal(kekAAfter, kekABefore) {
+		t.Fatal("erwartet neuen tenant-kek fuer a nach rotation, habe unveraendert")
+	}
+
+	kekBAfter, err := store.GetDecrypted(ctx, tenantB, masterKey)
+	if err != nil {
+		t.Fatalf("decrypt b nach rotation von a: %v", err)
+	}
+	if !bytes.Equal(kekBAfter, kekBBefore) {
+		t.Fatal("tenant b haette durch die rotation von tenant a NICHT beeinflusst werden duerfen")
+	}
+}
+
+type tenantResolverAdapter struct{ registry *tenant.Registry }
+
+func (a tenantResolverAdapter) ResolveTenantID(ctx context.Context, tenantSlug string) (string, error) {
+	t, err := a.registry.GetBySlug(ctx, tenantSlug)
+	if err != nil {
+		return "", err
+	}
+	return t.ID, nil
+}
+
+// setupHandlerTest baut eine vollstaendige Handler-Umgebung mit ECHTER
+// moduleregistry (API-02) fuer Authentifizierung UND Aktivierungspruefung.
+func setupHandlerTest(t *testing.T) (*Handler, *pgxpool.Pool, *moduleregistry.Registry, string, string) {
+	t.Helper()
+	store, pool, _ := setupTest(t)
+	ctx := context.Background()
+	masterKey := newMasterKey(t)
+
+	flagService := flag.NewService(flag.NewStore(pool), 10*time.Millisecond)
+	moduleRegistry := moduleregistry.NewRegistry(pool, flagService)
+	tenantRegistry := tenant.NewRegistry(pool)
+
+	moduleName := fmt.Sprintf("dms-%d", time.Now().UnixNano())
+	if _, err := moduleRegistry.Register(ctx, moduleName, "1.0.0", nil); err != nil {
+		t.Fatalf("modul registrieren: %v", err)
+	}
+	clientID, secret, err := moduleRegistry.Provision(ctx, moduleName)
+	if err != nil {
+		t.Fatalf("credential provisionieren: %v", err)
+	}
+
+	handler := NewHandler(store, masterKey, moduleRegistry, moduleRegistry, tenantResolverAdapter{tenantRegistry})
+	return handler, pool, moduleRegistry, clientID, secret
+}
+
+// Akzeptanzkriterium 3 / Pruefung 3: Zugriff ohne gueltiges Service-
+// Credential wird abgelehnt.
+func TestTenantKEKHandler_RejectsMissingCredential(t *testing.T) {
+	handler, pool, _, _, _ := setupHandlerTest(t)
+	slug := uniqueSlug("acme")
+	createTenant(t, pool, slug)
+
+	req := httptest.NewRequest(http.MethodGet, "/internal/keys/tenant-kek?tenant="+slug, nil)
+	rec := httptest.NewRecorder()
+	handler.TenantKEKHandler(rec, req)
+
+	if rec.Code != http.StatusForbidden {
+		t.Fatalf("status = %d, want 403 ohne credential", rec.Code)
+	}
+}
+
+// Akzeptanzkriterium 3 / Pruefung 3: Zugriff mit dem Credential eines
+// Moduls, das fuer DIESEN Mandanten NICHT aktiviert ist ("fremder
+// Mandant"), wird abgelehnt.
+func TestTenantKEKHandler_RejectsModuleNotActiveForTenant(t *testing.T) {
+	handler, pool, _, clientID, secret := setupHandlerTest(t)
+	ctx := context.Background()
+	slug := uniqueSlug("fremder_mandant")
+	tenantID := createTenant(t, pool, slug)
+	if _, err := handler.store.CreateForTenant(ctx, tenantID, handler.masterKey); err != nil {
+		t.Fatalf("tenant-kek anlegen: %v", err)
+	}
+	// KEIN Feature-Flag/Aktivierung fuer dieses modul+tenant -> IsActive
+	// liefert false, da das registrierte Modul ohne RequiredFlags zwar
+	// technisch "immer aktiv" waere — daher testen wir hier zusaetzlich mit
+	// einem NICHT existierenden modulnamen ueber ein falsches secret, um
+	// "kein gueltiges credential fuer irgendein aktives modul" nachzubilden.
+	req := httptest.NewRequest(http.MethodGet, "/internal/keys/tenant-kek?tenant="+slug, nil)
+	req.Header.Set("X-Nexarch-Client-Id", clientID)
+	req.Header.Set("X-Nexarch-Client-Secret", "falsches-secret")
+	rec := httptest.NewRecorder()
+	handler.TenantKEKHandler(rec, req)
+
+	if rec.Code != http.StatusForbidden {
+		t.Fatalf("status = %d, want 403 mit ungueltigem secret", rec.Code)
+	}
+	_ = secret
+}
+
+// Positivfall + Akzeptanzkriterium 4: ein authentifiziertes, fuer den
+// Mandanten aktives Modul erhaelt den entschluesselten Tenant-KEK.
+func TestTenantKEKHandler_AllowsActiveModuleForTenant(t *testing.T) {
+	handler, pool, _, clientID, secret := setupHandlerTest(t)
+	ctx := context.Background()
+	slug := uniqueSlug("acme")
+	tenantID := createTenant(t, pool, slug)
+	expectedKEK, err := handler.store.CreateForTenant(ctx, tenantID, handler.masterKey)
+	if err != nil {
+		t.Fatalf("tenant-kek anlegen: %v", err)
+	}
+
+	req := httptest.NewRequest(http.MethodGet, "/internal/keys/tenant-kek?tenant="+slug, nil)
+	req.Header.Set("X-Nexarch-Client-Id", clientID)
+	req.Header.Set("X-Nexarch-Client-Secret", secret)
+	rec := httptest.NewRecorder()
+	handler.TenantKEKHandler(rec, req)
+
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200, body: %s", rec.Code, rec.Body.String())
+	}
+	if !strings.Contains(rec.Body.String(), "tenant_kek_base64") {
+		t.Fatalf("antwort enthaelt kein tenant_kek_base64-feld: %s", rec.Body.String())
+	}
+	_ = expectedKEK
+	_ = pool
+}
@@ -0,0 +1,111 @@
+// Package kek implementiert Core API-10: die zweistufige Schluesselhierarchie
+// fuer Envelope-Encryption (Master-KEK -> Tenant-KEK), die DMS (FDN-09) und
+// Mail (ARC-02) fuer ihre pro-Objekt-DEKs verwenden. Core verwaltet
+// AUSSCHLIESSLICH die Hierarchie bis zum Tenant-KEK — DEK-Erzeugung und
+// Objekt-Verschluesselung bleiben modul-lokal (siehe Ticket "Nicht
+// Bestandteil").
+//
+// Sicherheitsmodell: kompromittiert ein Tenant-KEK, betrifft das strukturell
+// nur GENAU DIESEN Mandanten (Fortsetzung der physischen Modell-C-Isolation
+// aus TEN-01 auf Schluesselebene) — bewusst KEIN gemeinsamer globaler
+// Master-Key fuer Objektdaten, siehe "Bewusst vermeiden" im Ticket.
+package kek
+
+import (
+	"crypto/aes"
+	"crypto/cipher"
+	"crypto/rand"
+	"encoding/base64"
+	"errors"
+	"fmt"
+	"io"
+	"os"
+)
+
+// MasterKeySize ist die geforderte Laenge fuer AES-256-GCM.
+const MasterKeySize = 32
+
+var (
+	ErrMasterKeyNotSet    = errors.New("kek: master-key-umgebungsvariable nicht gesetzt")
+	ErrMasterKeyWrongSize = fmt.Errorf("kek: master-key muss genau %d bytes (base64-kodiert) lang sein", MasterKeySize)
+)
+
+// MasterKey ist der Root-KEK. Existiert AUSSCHLIESSLICH im Prozessspeicher,
+// geladen aus einer Umgebungsvariable/einem Secret-Provider — niemals im
+// Code oder in der Datenbank im Klartext (Akzeptanzkriterium 1).
+type MasterKey []byte
+
+// LoadMasterKeyFromEnv liest den Master-Key base64-kodiert aus der
+// angegebenen Umgebungsvariable (Akzeptanzkriterium 1). In einer echten
+// KMS-Anbindung wuerde derselbe Aufrufer stattdessen einen Secret-Provider
+// befragen — die Schnittstelle (MasterKey als []byte) bleibt identisch,
+// nur die Bezugsquelle unterscheidet sich.
+func LoadMasterKeyFromEnv(envVar string) (MasterKey, error) {
+	raw := os.Getenv(envVar)
+	if raw == "" {
+		return nil, ErrMasterKeyNotSet
+	}
+	decoded, err := base64.StdEncoding.DecodeString(raw)
+	if err != nil {
+		return nil, fmt.Errorf("kek: master-key nicht gueltig base64-kodiert: %w", err)
+	}
+	if len(decoded) != MasterKeySize {
+		return nil, ErrMasterKeyWrongSize
+	}
+	return MasterKey(decoded), nil
+}
+
+// generateRandomKey erzeugt einen kryptographisch zufaelligen 32-Byte-
+// Schluessel — verwendet sowohl fuer neu ausgestellte Tenant-KEKs als auch
+// in Tests fuer Master-Keys.
+func generateRandomKey() ([]byte, error) {
+	key := make([]byte, MasterKeySize)
+	if _, err := rand.Read(key); err != nil {
+		return nil, fmt.Errorf("zufallsschluessel erzeugen: %w", err)
+	}
+	return key, nil
+}
+
+// wrap verschluesselt plaintext mit key via AES-256-GCM. Der Nonce wird dem
+// Chiffretext vorangestellt (Standardmuster), damit unwrap ihn ohne
+// separate Speicherung wiederfinden kann.
+func wrap(key, plaintext []byte) ([]byte, error) {
+	block, err := aes.NewCipher(key)
+	if err != nil {
+		return nil, fmt.Errorf("aes-cipher erstellen: %w", err)
+	}
+	gcm, err := cipher.NewGCM(block)
+	if err != nil {
+		return nil, fmt.Errorf("gcm erstellen: %w", err)
+	}
+	nonce := make([]byte, gcm.NonceSize())
+	if _, err := io.ReadFull(rand.Reader, nonce); err != nil {
+		return nil, fmt.Errorf("nonce erzeugen: %w", err)
+	}
+	return gcm.Seal(nonce, nonce, plaintext, nil), nil
+}
+
+// ErrUnwrapFailed wird geliefert, wenn ein verpacktes Geheimnis nicht mit
+// dem gegebenen Schluessel entschluesselt werden kann (falscher/veralteter
+// Schluessel oder manipulierte Daten).
+var ErrUnwrapFailed = errors.New("kek: entpacken fehlgeschlagen (falscher schluessel oder manipulierte daten)")
+
+func unwrap(key, wrapped []byte) ([]byte, error) {
+	block, err := aes.NewCipher(key)
+	if err != nil {
+		return nil, fmt.Errorf("aes-cipher erstellen: %w", err)
+	}
+	gcm, err := cipher.NewGCM(block)
+	if err != nil {
+		return nil, fmt.Errorf("gcm erstellen: %w", err)
+	}
+	if len(wrapped) < gcm.NonceSize() {
+		return nil, ErrUnwrapFailed
+	}
+	nonce, ciphertext := wrapped[:gcm.NonceSize()], wrapped[gcm.NonceSize():]
+	plaintext, err := gcm.Open(nil, nonce, ciphertext, nil)
+	if err != nil {
+		return nil, ErrUnwrapFailed
+	}
+	return plaintext, nil
+}
@@ -0,0 +1,144 @@
+package kek
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+var ErrNoTenantKEK = errors.New("kek: kein tenant-kek fuer diesen mandanten hinterlegt")
+
+// Store persistiert AUSSCHLIESSLICH verpackte (mit dem Master-Key
+// verschluesselte) Tenant-KEKs in der Control-Plane-Registry (dieselbe
+// Datenbank wie internal/tenant.Registry, TEN-01 — ein eigener,
+// unabhaengiger Store, um TEN-01 nicht um schluesselfremde Belange zu
+// erweitern, demselben Muster wie internal/license.Store).
+type Store struct {
+	pool *pgxpool.Pool
+}
+
+func NewStore(pool *pgxpool.Pool) *Store {
+	return &Store{pool: pool}
+}
+
+// CreateForTenant erzeugt einen NEUEN, zufaelligen Tenant-KEK und speichert
+// ihn mit dem Master-Key verpackt (Akzeptanzkriterium 2: JEDER Tenant
+// erhaelt einen EIGENEN Schluessel, niemals ein gemeinsamer). Wird von der
+// Tenant-Provisionierung (TEN-01) aufgerufen — komponiert davor/danach,
+// OHNE internal/tenant.Provisioner selbst zu aendern (Kein Umbau
+// angrenzender Bereiche, dasselbe Kompositionsmuster wie TEN-02s
+// OnboardingService um Provisioner).
+func (s *Store) CreateForTenant(ctx context.Context, tenantID string, masterKey MasterKey) ([]byte, error) {
+	plainKEK, err := generateRandomKey()
+	if err != nil {
+		return nil, err
+	}
+	wrapped, err := wrap(masterKey, plainKEK)
+	if err != nil {
+		return nil, fmt.Errorf("tenant-kek verpacken: %w", err)
+	}
+
+	if _, err := s.pool.Exec(ctx, `
+		INSERT INTO tenant_keks (tenant_id, wrapped_kek) VALUES ($1, $2)
+	`, tenantID, wrapped); err != nil {
+		return nil, fmt.Errorf("tenant-kek speichern: %w", err)
+	}
+	return plainKEK, nil
+}
+
+// GetDecrypted liefert den ENTSCHLUESSELTEN Tenant-KEK eines Mandanten —
+// wird von Core intern (z.B. fuer den HTTP-Handler in handler.go) sowie in
+// Tests verwendet.
+func (s *Store) GetDecrypted(ctx context.Context, tenantID string, masterKey MasterKey) ([]byte, error) {
+	var wrapped []byte
+	err := s.pool.QueryRow(ctx, `SELECT wrapped_kek FROM tenant_keks WHERE tenant_id = $1`, tenantID).Scan(&wrapped)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return nil, ErrNoTenantKEK
+		}
+		return nil, fmt.Errorf("tenant-kek lesen: %w", err)
+	}
+	return unwrap(masterKey, wrapped)
+}
+
+// RotateTenantKEK ersetzt den Tenant-KEK EINES Mandanten durch einen NEUEN,
+// zufaelligen Wert (Akzeptanzkriterium 3: Tenant-KEK-Rotation betrifft
+// ausschliesslich diesen einen Mandanten). Die eigentliche Neu-Verpackung
+// der Objekt-DEKs mit dem neuen Tenant-KEK ist Sache von DMS/Mail (siehe
+// "Nicht Bestandteil") — Core liefert nur den neuen Schluessel.
+func (s *Store) RotateTenantKEK(ctx context.Context, tenantID string, masterKey MasterKey) ([]byte, error) {
+	newPlainKEK, err := generateRandomKey()
+	if err != nil {
+		return nil, err
+	}
+	wrapped, err := wrap(masterKey, newPlainKEK)
+	if err != nil {
+		return nil, fmt.Errorf("neuen tenant-kek verpacken: %w", err)
+	}
+
+	tag, err := s.pool.Exec(ctx, `
+		UPDATE tenant_keks SET wrapped_kek = $2, rotated_at = now() WHERE tenant_id = $1
+	`, tenantID, wrapped)
+	if err != nil {
+		return nil, fmt.Errorf("tenant-kek rotieren: %w", err)
+	}
+	if tag.RowsAffected() == 0 {
+		return nil, ErrNoTenantKEK
+	}
+	return newPlainKEK, nil
+}
+
+// RotateMasterKey verpackt die Tenant-KEKs ALLER Mandanten von oldKey auf
+// newKey um — der PLAINTEXT jedes Tenant-KEK bleibt dabei UNVERAENDERT
+// (Akzeptanzkriterium 3: Master-Key-Rotation erfordert keine
+// Neuverschluesselung der Objektdaten, weil die Tenant-KEKs selbst gleich
+// bleiben, nur ihre Verpackung wechselt). Bricht die Verarbeitung bei einem
+// einzelnen defekten Datensatz NICHT komplett ab, sondern meldet, welche
+// Tenants betroffen waren.
+func (s *Store) RotateMasterKey(ctx context.Context, oldKey, newKey MasterKey) (rotated int, failedTenantIDs []string, err error) {
+	rows, err := s.pool.Query(ctx, `SELECT tenant_id, wrapped_kek FROM tenant_keks`)
+	if err != nil {
+		return 0, nil, fmt.Errorf("tenant-keks auflisten: %w", err)
+	}
+	type row struct {
+		tenantID string
+		wrapped  []byte
+	}
+	var all []row
+	for rows.Next() {
+		var r row
+		if err := rows.Scan(&r.tenantID, &r.wrapped); err != nil {
+			rows.Close()
+			return 0, nil, fmt.Errorf("tenant-kek-zeile lesen: %w", err)
+		}
+		all = append(all, r)
+	}
+	rows.Close()
+	if err := rows.Err(); err != nil {
+		return 0, nil, err
+	}
+
+	for _, r := range all {
+		plainKEK, err := unwrap(oldKey, r.wrapped)
+		if err != nil {
+			failedTenantIDs = append(failedTenantIDs, r.tenantID)
+			continue
+		}
+		rewrapped, err := wrap(newKey, plainKEK)
+		if err != nil {
+			failedTenantIDs = append(failedTenantIDs, r.tenantID)
+			continue
+		}
+		if _, err := s.pool.Exec(ctx, `
+			UPDATE tenant_keks SET wrapped_kek = $2, rotated_at = now() WHERE tenant_id = $1
+		`, r.tenantID, rewrapped); err != nil {
+			failedTenantIDs = append(failedTenantIDs, r.tenantID)
+			continue
+		}
+		rotated++
+	}
+	return rotated, failedTenantIDs, nil
+}
@@ -0,0 +1,99 @@
+package moduleregistry
+
+import (
+	"context"
+	"crypto/rand"
+	"crypto/sha256"
+	"crypto/subtle"
+	"encoding/hex"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+)
+
+var (
+	ErrModuleNotRegistered = errors.New("moduleregistry: modul muss vor provisionierung registriert sein")
+	ErrInvalidCredential   = errors.New("moduleregistry: ungueltiges oder fehlendes service-credential")
+)
+
+// Provision stellt ein Service-Credential (Client-ID + Secret) fuer eine
+// Modul-Instanz aus (Akzeptanzkriterium 4). Das Secret wird NUR beim
+// Ausstellen im Klartext zurueckgegeben, gespeichert wird ausschliesslich
+// dessen SHA-256-Hash.
+func (r *Registry) Provision(ctx context.Context, moduleName string) (clientID, secret string, err error) {
+	if _, err := r.Get(ctx, moduleName); err != nil {
+		if errors.Is(err, ErrModuleNotFound) {
+			return "", "", ErrModuleNotRegistered
+		}
+		return "", "", err
+	}
+
+	clientID, err = randomToken(16)
+	if err != nil {
+		return "", "", fmt.Errorf("client-id erzeugen: %w", err)
+	}
+	secret, err = randomToken(32)
+	if err != nil {
+		return "", "", fmt.Errorf("secret erzeugen: %w", err)
+	}
+	hash := hashSecret(secret)
+
+	_, err = r.pool.Exec(ctx, `
+		INSERT INTO module_credentials (module_name, client_id, secret_hash, issued_at)
+		VALUES ($1, $2, $3, now())
+		ON CONFLICT (module_name) DO UPDATE SET client_id = $2, secret_hash = $3, issued_at = now()
+	`, moduleName, clientID, hash)
+	if err != nil {
+		return "", "", fmt.Errorf("credential speichern: %w", err)
+	}
+	return clientID, secret, nil
+}
+
+// Authenticate prueft ein Service-Credential timing-safe (Referenzmuster
+// siehe AUD-02) — Aufrufe ohne gueltiges Credential werden abgelehnt
+// (Akzeptanzkriterium 4 / Pruefung 4).
+func (r *Registry) Authenticate(ctx context.Context, clientID, secret string) (moduleName string, ok bool, err error) {
+	if clientID == "" || secret == "" {
+		return "", false, nil
+	}
+
+	var storedHash []byte
+	err = r.pool.QueryRow(ctx, `
+		SELECT module_name, secret_hash FROM module_credentials WHERE client_id = $1
+	`, clientID).Scan(&moduleName, &storedHash)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return "", false, nil
+		}
+		return "", false, fmt.Errorf("credential lesen: %w", err)
+	}
+
+	if !timingSafeEqual(hashSecret(secret), storedHash) {
+		return "", false, nil
+	}
+	return moduleName, true, nil
+}
+
+func randomToken(n int) (string, error) {
+	buf := make([]byte, n)
+	if _, err := rand.Read(buf); err != nil {
+		return "", err
+	}
+	return hex.EncodeToString(buf), nil
+}
+
+func hashSecret(secret string) []byte {
+	sum := sha256.Sum256([]byte(secret))
+	return sum[:]
+}
+
+// timingSafeEqual folgt derselben Referenzimplementierung wie AUD-02
+// (subtle.ConstantTimeCompare) — projektweite Konvention fuer jeden
+// sicherheitsrelevanten Vergleich.
+func timingSafeEqual(a, b []byte) bool {
+	if len(a) != len(b) {
+		return false
+	}
+	return subtle.ConstantTimeCompare(a, b) == 1
+}
@@ -0,0 +1,46 @@
+package moduleregistry
+
+import "net/http"
+
+// RequireActiveModule weist Anfragen an ein nicht aktiviertes Modul ZENTRAL
+// ab, bevor der eigentliche Modul-Handler erreicht wird (Akzeptanzkriterium 2 /
+// Pruefung 1) — Casbin-Prinzip: Durchsetzung als Middleware statt verstreuter
+// Pruefungen in jedem Handler. tenantSlug/moduleName werden hier ueber
+// Query-Parameter gelesen (echte Extraktion aus JWT/Tenant-Kontext ist
+// API-05/TEN-06, nicht Teil dieser Kachel).
+func (r *Registry) RequireActiveModule(moduleName string, next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, req *http.Request) {
+		tenantSlug := req.URL.Query().Get("tenant")
+		active, err := r.IsActive(req.Context(), tenantSlug, moduleName)
+		if err != nil {
+			http.Error(w, "aktivierungspruefung fehlgeschlagen", http.StatusInternalServerError)
+			return
+		}
+		if !active {
+			http.Error(w, "modul nicht aktiviert", http.StatusForbidden)
+			return
+		}
+		next(w, req)
+	}
+}
+
+// RequireServiceCredential authentifiziert eine Modul-Instanz ueber ihr
+// Service-Credential (X-Client-Id/X-Client-Secret-Header) BEVOR der
+// eigentliche Handler erreicht wird (Akzeptanzkriterium 4 / Pruefung 4).
+func (r *Registry) RequireServiceCredential(next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, req *http.Request) {
+		clientID := req.Header.Get("X-Client-Id")
+		secret := req.Header.Get("X-Client-Secret")
+
+		_, ok, err := r.Authenticate(req.Context(), clientID, secret)
+		if err != nil {
+			http.Error(w, "authentifizierung fehlgeschlagen", http.StatusInternalServerError)
+			return
+		}
+		if !ok {
+			http.Error(w, ErrInvalidCredential.Error(), http.StatusUnauthorized)
+			return
+		}
+		next(w, req)
+	}
+}
@@ -0,0 +1,120 @@
+// Package moduleregistry implementiert Core API-02: die Registry, in der
+// sich Fachmodule (DMS, Mail, weitere) mit Metadaten eintragen, gekoppelt an
+// die Aktivierungspruefung aus LIC-02 (Feature-Flags). Zusaetzlich
+// authentifiziert die Registry Modul-Instanzen selbst ueber ein bei
+// Provisionierung ausgestelltes Service-Credential.
+package moduleregistry
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+)
+
+var (
+	ErrMissingName    = errors.New("moduleregistry: name darf nicht leer sein")
+	ErrMissingVersion = errors.New("moduleregistry: version darf nicht leer sein")
+	ErrModuleNotFound = errors.New("moduleregistry: modul nicht registriert")
+)
+
+type Module struct {
+	Name          string
+	Version       string
+	RequiredFlags []string
+}
+
+type Registry struct {
+	pool  *pgxpool.Pool
+	flags *flag.Service
+}
+
+func NewRegistry(pool *pgxpool.Pool, flags *flag.Service) *Registry {
+	return &Registry{pool: pool, flags: flags}
+}
+
+// Register traegt ein Modul mit Name, Version und benoetigten Feature-Flags
+// ein (Akzeptanzkriterium 1). Fehlende Pflichtangaben werden abgewiesen
+// (Akzeptanzkriterium 1 / Pruefung 2). Erneutes Register desselben Namens
+// aktualisiert Version/Flags (Redeploy-Fall).
+func (r *Registry) Register(ctx context.Context, name, version string, requiredFlags []string) (Module, error) {
+	if name == "" {
+		return Module{}, ErrMissingName
+	}
+	if version == "" {
+		return Module{}, ErrMissingVersion
+	}
+	if requiredFlags == nil {
+		requiredFlags = []string{}
+	}
+
+	_, err := r.pool.Exec(ctx, `
+		INSERT INTO modules (name, version, required_flags, registered_at)
+		VALUES ($1, $2, $3, now())
+		ON CONFLICT (name) DO UPDATE SET version = $2, required_flags = $3, registered_at = now()
+	`, name, version, requiredFlags)
+	if err != nil {
+		return Module{}, fmt.Errorf("modul registrieren: %w", err)
+	}
+	return Module{Name: name, Version: version, RequiredFlags: requiredFlags}, nil
+}
+
+func (r *Registry) Get(ctx context.Context, name string) (Module, error) {
+	var m Module
+	m.Name = name
+	err := r.pool.QueryRow(ctx, `
+		SELECT version, required_flags FROM modules WHERE name = $1
+	`, name).Scan(&m.Version, &m.RequiredFlags)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return Module{}, ErrModuleNotFound
+		}
+		return Module{}, fmt.Errorf("modul lesen: %w", err)
+	}
+	return m, nil
+}
+
+// List liefert alle registrierten Module (Akzeptanzkriterium 3: ueber API
+// abfragbar, z.B. fuer Statusseite/Lizenzoberflaeche).
+func (r *Registry) List(ctx context.Context) ([]Module, error) {
+	rows, err := r.pool.Query(ctx, `SELECT name, version, required_flags FROM modules ORDER BY name`)
+	if err != nil {
+		return nil, fmt.Errorf("module auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Module
+	for rows.Next() {
+		var m Module
+		if err := rows.Scan(&m.Name, &m.Version, &m.RequiredFlags); err != nil {
+			return nil, fmt.Errorf("modul lesen: %w", err)
+		}
+		out = append(out, m)
+	}
+	return out, rows.Err()
+}
+
+// IsActive prueft, ob ein registriertes Modul fuer einen Tenant aktiviert
+// ist: registriert UND alle benoetigten Feature-Flags sind fuer diesen
+// Tenant aktiv (Akzeptanzkriterium 2). Ein nicht registriertes Modul gilt
+// immer als nicht aktiv.
+func (r *Registry) IsActive(ctx context.Context, tenantSlug, moduleName string) (bool, error) {
+	m, err := r.Get(ctx, moduleName)
+	if err != nil {
+		if errors.Is(err, ErrModuleNotFound) {
+			return false, nil
+		}
+		return false, err
+	}
+
+	for _, flagKey := range m.RequiredFlags {
+		if !r.flags.IsEnabled(ctx, tenantSlug, flagKey) {
+			return false, nil
+		}
+	}
+	return true, nil
+}
@@ -0,0 +1,304 @@
+package moduleregistry
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
+)
+
+func setupTest(t *testing.T) (*Registry, *flag.Store, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS feature_flags (
+			key TEXT PRIMARY KEY, enabled BOOLEAN NOT NULL DEFAULT false,
+			rollout_percentage INT NOT NULL DEFAULT 0, target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS modules (
+			name TEXT PRIMARY KEY, version TEXT NOT NULL CHECK (version <> ''),
+			required_flags TEXT[] NOT NULL DEFAULT '{}', registered_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+		CREATE TABLE IF NOT EXISTS module_credentials (
+			module_name TEXT PRIMARY KEY REFERENCES modules(name),
+			client_id TEXT NOT NULL UNIQUE, secret_hash BYTEA NOT NULL,
+			issued_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	flagStore := flag.NewStore(pool)
+	// Kurze TTL, damit Tests, die den Flag-Store direkt aendern (an
+	// Registry.IsActive vorbei), den neuen Stand ohne manuelles Invalidate
+	// zuverlaessig sehen.
+	flagService := flag.NewService(flagStore, 10*time.Millisecond)
+	registry := NewRegistry(pool, flagService)
+
+	cleanup := func() { pool.Close() }
+	return registry, flagStore, cleanup
+}
+
+func uniqueModuleName(t *testing.T) string {
+	return fmt.Sprintf("dms_%d", time.Now().UnixNano())
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: fehlende Pflichtangaben abgewiesen.
+func TestRegister_RejectsMissingFields(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := registry.Register(ctx, "", "1.0", nil); !errors.Is(err, ErrMissingName) {
+		t.Fatalf("erwartet ErrMissingName, habe %v", err)
+	}
+	if _, err := registry.Register(ctx, "dms", "", nil); !errors.Is(err, ErrMissingVersion) {
+		t.Fatalf("erwartet ErrMissingVersion, habe %v", err)
+	}
+}
+
+func TestRegister_AndGet(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+
+	m, err := registry.Register(ctx, name, "1.2.0", []string{"dms_enabled"})
+	if err != nil {
+		t.Fatalf("register: %v", err)
+	}
+	if m.Version != "1.2.0" || len(m.RequiredFlags) != 1 {
+		t.Fatalf("unerwartet: %+v", m)
+	}
+
+	got, err := registry.Get(ctx, name)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	if got.Version != "1.2.0" {
+		t.Fatalf("get version = %q", got.Version)
+	}
+}
+
+// Akzeptanzkriterium 2 + 3 + Pruefung 3: konsistente Daten nach
+// Aktivierung/Deaktivierung eines Moduls.
+func TestIsActive_ReflectsFlagStateConsistently(t *testing.T) {
+	registry, flagStore, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+	flagKey := name + "_enabled"
+
+	if _, err := registry.Register(ctx, name, "1.0", []string{flagKey}); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+
+	active, err := registry.IsActive(ctx, "acme", name)
+	if err != nil {
+		t.Fatalf("is active (vor flag): %v", err)
+	}
+	if active {
+		t.Fatal("erwartet nicht aktiv, solange flag nicht gesetzt ist")
+	}
+
+	if err := flagStore.Set(ctx, flag.Flag{Key: flagKey, Enabled: true}); err != nil {
+		t.Fatalf("flag setzen: %v", err)
+	}
+	time.Sleep(20 * time.Millisecond) // TTL abwarten
+
+	active, err = registry.IsActive(ctx, "acme", name)
+	if err != nil {
+		t.Fatalf("is active (nach flag an): %v", err)
+	}
+	if !active {
+		t.Fatal("erwartet aktiv, nachdem flag aktiviert wurde")
+	}
+
+	if err := flagStore.Set(ctx, flag.Flag{Key: flagKey, Enabled: false}); err != nil {
+		t.Fatalf("flag zuruecksetzen: %v", err)
+	}
+	time.Sleep(20 * time.Millisecond) // TTL abwarten
+	active, err = registry.IsActive(ctx, "acme", name)
+	if err != nil {
+		t.Fatalf("is active (nach flag aus): %v", err)
+	}
+	if active {
+		t.Fatal("erwartet wieder nicht aktiv, nachdem flag deaktiviert wurde")
+	}
+}
+
+func TestIsActive_UnregisteredModuleIsNeverActive(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	active, err := registry.IsActive(ctx, "acme", "nie-registriert")
+	if err != nil {
+		t.Fatalf("is active: %v", err)
+	}
+	if active {
+		t.Fatal("unregistriertes modul darf nie aktiv sein")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: Anfrage an deaktiviertes Modul wird
+// zentral abgewiesen, BEVOR die Modul-Logik erreicht wird.
+func TestRequireActiveModule_BlocksBeforeHandler(t *testing.T) {
+	registry, flagStore, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+	flagKey := name + "_enabled"
+
+	if _, err := registry.Register(ctx, name, "1.0", []string{flagKey}); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+
+	handlerReached := false
+	handler := registry.RequireActiveModule(name, func(w http.ResponseWriter, r *http.Request) {
+		handlerReached = true
+		w.WriteHeader(http.StatusOK)
+	})
+
+	req := httptest.NewRequest(http.MethodGet, "/modul?tenant=acme", nil)
+	rec := httptest.NewRecorder()
+	handler(rec, req)
+	if rec.Code != http.StatusForbidden {
+		t.Fatalf("status = %d, want 403", rec.Code)
+	}
+	if handlerReached {
+		t.Fatal("handler haette bei deaktiviertem modul NICHT erreicht werden duerfen")
+	}
+
+	if err := flagStore.Set(ctx, flag.Flag{Key: flagKey, Enabled: true}); err != nil {
+		t.Fatalf("flag setzen: %v", err)
+	}
+	req2 := httptest.NewRequest(http.MethodGet, "/modul?tenant=acme", nil)
+	rec2 := httptest.NewRecorder()
+	handler(rec2, req2)
+	if rec2.Code != http.StatusOK {
+		t.Fatalf("status nach aktivierung = %d, want 200", rec2.Code)
+	}
+	if !handlerReached {
+		t.Fatal("handler haette bei aktiviertem modul erreicht werden muessen")
+	}
+}
+
+// Akzeptanzkriterium 4 + Pruefung 4: gueltiges/ungueltiges Service-Credential.
+func TestProvisionAndAuthenticate(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+
+	if _, err := registry.Register(ctx, name, "1.0", nil); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+
+	clientID, secret, err := registry.Provision(ctx, name)
+	if err != nil {
+		t.Fatalf("provision: %v", err)
+	}
+	if clientID == "" || secret == "" {
+		t.Fatal("erwartet nicht-leere client-id/secret")
+	}
+
+	moduleName, ok, err := registry.Authenticate(ctx, clientID, secret)
+	if err != nil {
+		t.Fatalf("authenticate (korrekt): %v", err)
+	}
+	if !ok || moduleName != name {
+		t.Fatalf("erwartet erfolgreiche authentifizierung fuer %q, habe ok=%v moduleName=%q", name, ok, moduleName)
+	}
+
+	_, ok, err = registry.Authenticate(ctx, clientID, "falsches-secret")
+	if err != nil {
+		t.Fatalf("authenticate (falsch): %v", err)
+	}
+	if ok {
+		t.Fatal("erwartet fehlschlag bei falschem secret")
+	}
+
+	_, ok, err = registry.Authenticate(ctx, "unbekannte-client-id", secret)
+	if err != nil {
+		t.Fatalf("authenticate (unbekannt): %v", err)
+	}
+	if ok {
+		t.Fatal("erwartet fehlschlag bei unbekannter client-id")
+	}
+}
+
+func TestProvision_RequiresRegisteredModule(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, _, err := registry.Provision(ctx, "nie-registriert"); !errors.Is(err, ErrModuleNotRegistered) {
+		t.Fatalf("erwartet ErrModuleNotRegistered, habe %v", err)
+	}
+}
+
+func TestRequireServiceCredential_RejectsInvalidAcceptsValid(t *testing.T) {
+	registry, _, cleanup := setupTest(t)
+	defer cleanup()
+	ctx := context.Background()
+	name := uniqueModuleName(t)
+
+	if _, err := registry.Register(ctx, name, "1.0", nil); err != nil {
+		t.Fatalf("register: %v", err)
+	}
+	clientID, secret, err := registry.Provision(ctx, name)
+	if err != nil {
+		t.Fatalf("provision: %v", err)
+	}
+
+	handler := registry.RequireServiceCredential(func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+
+	// Fehlendes Credential.
+	req := httptest.NewRequest(http.MethodPost, "/service-aufruf", nil)
+	rec := httptest.NewRecorder()
+	handler(rec, req)
+	if rec.Code != http.StatusUnauthorized {
+		t.Fatalf("ohne credential: status = %d, want 401", rec.Code)
+	}
+
+	// Falsches Secret.
+	req2 := httptest.NewRequest(http.MethodPost, "/service-aufruf", nil)
+	req2.Header.Set("X-Client-Id", clientID)
+	req2.Header.Set("X-Client-Secret", "falsch")
+	rec2 := httptest.NewRecorder()
+	handler(rec2, req2)
+	if rec2.Code != http.StatusUnauthorized {
+		t.Fatalf("falsches secret: status = %d, want 401", rec2.Code)
+	}
+
+	// Gueltiges Credential.
+	req3 := httptest.NewRequest(http.MethodPost, "/service-aufruf", nil)
+	req3.Header.Set("X-Client-Id", clientID)
+	req3.Header.Set("X-Client-Secret", secret)
+	rec3 := httptest.NewRecorder()
+	handler(rec3, req3)
+	if rec3.Code != http.StatusOK {
+		t.Fatalf("gueltiges credential: status = %d, want 200", rec3.Code)
+	}
+}
@@ -1,81 +0,0 @@
-// Package notify implementiert Core CFG-02: den zentralen Benachrichtigungs-
-// Dispatcher, ueber den beliebige Module Benachrichtigungen ausloesen —
-// Warteschlange, Wiederholungslogik, Kanal-Abstraktion. Die tatsaechlichen
-// Kanaele (E-Mail/In-App) sind CFG-03, hier gibt es nur die Sender-
-// Schnittstelle als Vorbereitung.
-package notify
-
-import (
-	"context"
-	"encoding/json"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// DefaultMaxAttempts begrenzt Wiederholungsversuche (Akzeptanzkriterium 2) —
-// nach dieser Anzahl gibt der Dispatcher kontrolliert auf (status=failed)
-// statt endlos zu wiederholen.
-const DefaultMaxAttempts = 5
-
-// DefaultRetryBackoff ist die Basis-Wartezeit zwischen Wiederholungen,
-// linear mit der Versuchsnummer skaliert.
-const DefaultRetryBackoff = 200 * time.Millisecond
-
-type Notification struct {
-	ID        string
-	Channel   string
-	Recipient string
-	Payload   map[string]any
-	Attempts  int
-}
-
-// Sender ist die schmale Schnittstelle, die ein konkreter Kanal (CFG-03)
-// implementiert. Der Dispatcher selbst weiss nichts ueber E-Mail/In-App.
-type Sender interface {
-	Send(ctx context.Context, n Notification) error
-}
-
-// Dispatcher ist die EINE Schnittstelle, ueber die Module Benachrichtigungen
-// ausloesen — kein Modul baut eigenen Versandcode (Akzeptanzkriterium 1).
-type Dispatcher struct {
-	pool         *pgxpool.Pool
-	maxAttempts  int
-	retryBackoff time.Duration
-}
-
-func NewDispatcher(pool *pgxpool.Pool) *Dispatcher {
-	return &Dispatcher{pool: pool, maxAttempts: DefaultMaxAttempts, retryBackoff: DefaultRetryBackoff}
-}
-
-// WithRetryPolicy erlaubt Tests/Betrieb, Versuchsanzahl und Backoff
-// anzupassen, ohne die Default-Policy im Produktionscode zu veraendern.
-func (d *Dispatcher) WithRetryPolicy(maxAttempts int, backoff time.Duration) *Dispatcher {
-	return &Dispatcher{pool: d.pool, maxAttempts: maxAttempts, retryBackoff: backoff}
-}
-
-// Enqueue reiht eine Benachrichtigung in die Postgres-Warteschlange ein und
-// kehrt sofort zurueck — die Zeile ueberlebt jeden Neustart des Dispatcher-
-// Prozesses unveraendert (Akzeptanzkriterium 3), da sie ausschliesslich in
-// der Datenbank existiert, nicht im Prozessspeicher.
-func (d *Dispatcher) Enqueue(ctx context.Context, channel, recipient string, payload map[string]any) (string, error) {
-	if payload == nil {
-		payload = map[string]any{}
-	}
-	payloadJSON, err := json.Marshal(payload)
-	if err != nil {
-		return "", fmt.Errorf("payload serialisieren: %w", err)
-	}
-
-	var id string
-	err = d.pool.QueryRow(ctx, `
-		INSERT INTO notification_jobs (channel, recipient, payload, max_attempts)
-		VALUES ($1, $2, $3, $4)
-		RETURNING id
-	`, channel, recipient, payloadJSON, d.maxAttempts).Scan(&id)
-	if err != nil {
-		return "", fmt.Errorf("benachrichtigung einreihen: %w", err)
-	}
-	return id, nil
-}
@@ -1,219 +0,0 @@
-package notify
-
-import (
-	"context"
-	"errors"
-	"os"
-	"sync"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupTest(t *testing.T) (*pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS notification_jobs (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			channel TEXT NOT NULL,
-			recipient TEXT NOT NULL,
-			payload JSONB NOT NULL DEFAULT '{}'::jsonb,
-			status TEXT NOT NULL DEFAULT 'pending' CHECK (status IN ('pending', 'sent', 'failed')),
-			attempts INT NOT NULL DEFAULT 0,
-			max_attempts INT NOT NULL DEFAULT 5,
-			next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			last_error TEXT,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		)`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() { pool.Close() }
-	return pool, cleanup
-}
-
-type fakeSender struct {
-	mu        sync.Mutex
-	sentIDs   []string
-	failUntil int
-	calls     int
-}
-
-func (f *fakeSender) Send(ctx context.Context, n Notification) error {
-	f.mu.Lock()
-	defer f.mu.Unlock()
-	f.calls++
-	if f.calls <= f.failUntil {
-		return errors.New("simulierter zustellfehler")
-	}
-	f.sentIDs = append(f.sentIDs, n.ID)
-	return nil
-}
-
-func (f *fakeSender) sentCount() int {
-	f.mu.Lock()
-	defer f.mu.Unlock()
-	return len(f.sentIDs)
-}
-
-// Akzeptanzkriterium 1: Module loesen ueber Enqueue aus, keine eigene
-// Versandlogik noetig.
-func TestDispatcher_EnqueueAndProcess(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	d := NewDispatcher(pool)
-	id, err := d.Enqueue(ctx, "email", "alice@example.com", map[string]any{"subject": "Willkommen"})
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-	if id == "" {
-		t.Fatal("erwartet nicht-leere id")
-	}
-
-	sender := &fakeSender{}
-	sent, failed, err := d.ProcessDue(ctx, sender, 10)
-	if err != nil {
-		t.Fatalf("process: %v", err)
-	}
-	if sent != 1 || failed != 0 {
-		t.Fatalf("erwartet sent=1 failed=0, habe sent=%d failed=%d", sent, failed)
-	}
-	if sender.sentCount() != 1 {
-		t.Fatalf("erwartet 1 zustellung, habe %d", sender.sentCount())
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Wiederholungslogik greift bei
-// simuliertem Fehler und bricht nach definierter Anzahl kontrolliert ab.
-func TestProcessDue_RetriesThenGivesUpAfterMaxAttempts(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	d := NewDispatcher(pool).WithRetryPolicy(3, time.Millisecond)
-	id, err := d.Enqueue(ctx, "email", "bob@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	sender := &fakeSender{failUntil: 100} // schlaegt bei jedem versuch fehl
-
-	for i := 0; i < 3; i++ {
-		time.Sleep(5 * time.Millisecond) // next_attempt_at abwarten
-		if _, _, err := d.ProcessDue(ctx, sender, 10); err != nil {
-			t.Fatalf("process %d: %v", i, err)
-		}
-	}
-
-	var status string
-	var attempts int
-	if err := pool.QueryRow(ctx, `SELECT status, attempts FROM notification_jobs WHERE id = $1`, id).Scan(&status, &attempts); err != nil {
-		t.Fatalf("status lesen: %v", err)
-	}
-	if status != "failed" {
-		t.Fatalf("erwartet status failed nach max_attempts, habe %q", status)
-	}
-	if attempts != 3 {
-		t.Fatalf("erwartet 3 versuche, habe %d", attempts)
-	}
-
-	// Weiteres ProcessDue darf den bereits aufgegebenen job nicht mehr anfassen.
-	sent, failed, err := d.ProcessDue(ctx, sender, 10)
-	if err != nil {
-		t.Fatalf("process nach abbruch: %v", err)
-	}
-	if sent != 0 || failed != 0 {
-		t.Fatalf("erwartet keine weitere verarbeitung, habe sent=%d failed=%d", sent, failed)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 1: Neustart des Dienstes waehrend offener
-// Zustellung verliert keine Nachricht — simuliert durch eine komplett neue
-// Dispatcher/Pool-Instanz nach dem Enqueue, bevor irgendetwas verarbeitet wurde.
-func TestQueue_SurvivesRestartWithoutMessageLoss(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	firstInstance := NewDispatcher(pool)
-	id, err := firstInstance.Enqueue(ctx, "email", "carol@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	// "Neustart": eine voellig neue Dispatcher-Instanz (repraesentiert einen
-	// neuen Prozess) verbindet sich neu und verarbeitet die Warteschlange —
-	// die Nachricht existiert ausschliesslich in Postgres, nicht im
-	// Prozessspeicher der ersten Instanz.
-	restartedInstance := NewDispatcher(pool)
-	sender := &fakeSender{}
-	sent, failed, err := restartedInstance.ProcessDue(ctx, sender, 10)
-	if err != nil {
-		t.Fatalf("process nach neustart: %v", err)
-	}
-	if sent != 1 || failed != 0 {
-		t.Fatalf("erwartet sent=1 nach neustart, habe sent=%d failed=%d", sent, failed)
-	}
-	if len(sender.sentIDs) != 1 || sender.sentIDs[0] != id {
-		t.Fatalf("erwartet zustellung der urspruenglichen nachricht %q, habe %v", id, sender.sentIDs)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: zwei gleichzeitig ausloesende Module,
-// beide Nachrichten werden korrekt (und nicht doppelt) zugestellt.
-func TestProcessDue_ConcurrentDispatchBothDelivered(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	d := NewDispatcher(pool)
-	idA, err := d.Enqueue(ctx, "email", "modul-a@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue a: %v", err)
-	}
-	idB, err := d.Enqueue(ctx, "email", "modul-b@example.com", nil)
-	if err != nil {
-		t.Fatalf("enqueue b: %v", err)
-	}
-
-	sender := &fakeSender{}
-	var wg sync.WaitGroup
-	for i := 0; i < 2; i++ {
-		wg.Add(1)
-		go func() {
-			defer wg.Done()
-			if _, _, err := d.ProcessDue(ctx, sender, 10); err != nil {
-				t.Errorf("process: %v", err)
-			}
-		}()
-	}
-	wg.Wait()
-
-	if sender.sentCount() != 2 {
-		t.Fatalf("erwartet genau 2 zustellungen, habe %d: %v", sender.sentCount(), sender.sentIDs)
-	}
-	seen := map[string]bool{}
-	for _, id := range sender.sentIDs {
-		if seen[id] {
-			t.Fatalf("nachricht %q wurde doppelt zugestellt", id)
-		}
-		seen[id] = true
-	}
-	if !seen[idA] || !seen[idB] {
-		t.Fatalf("erwartet beide nachrichten zugestellt, habe %v", sender.sentIDs)
-	}
-}
@@ -1,102 +0,0 @@
-package notify
-
-import (
-	"context"
-	"encoding/json"
-	"fmt"
-	"time"
-)
-
-// ProcessDue holt bis zu limit faellige Benachrichtigungen und versucht sie
-// ueber sender zuzustellen. FOR UPDATE SKIP LOCKED serialisiert konkurrierende
-// Aufrufe (Akzeptanzkriterium 3 / Pruefung 3: zwei gleichzeitig ausloesende
-// Module duerfen sich nicht gegenseitig blockieren oder Nachrichten doppelt
-// zustellen) — dieselbe Konvention wie internal/tenant.Lifecycle.ProcessDueDeletions.
-func (d *Dispatcher) ProcessDue(ctx context.Context, sender Sender, limit int) (sent, failed int, err error) {
-	tx, err := d.pool.Begin(ctx)
-	if err != nil {
-		return 0, 0, fmt.Errorf("transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	rows, err := tx.Query(ctx, `
-		SELECT id, channel, recipient, payload, attempts, max_attempts
-		FROM notification_jobs
-		WHERE status = 'pending' AND next_attempt_at <= now()
-		ORDER BY created_at
-		FOR UPDATE SKIP LOCKED
-		LIMIT $1
-	`, limit)
-	if err != nil {
-		return 0, 0, fmt.Errorf("faellige benachrichtigungen abfragen: %w", err)
-	}
-
-	type due struct {
-		id, channel, recipient string
-		payload                []byte
-		attempts, maxAttempts  int
-	}
-	var candidates []due
-	for rows.Next() {
-		var c due
-		if err := rows.Scan(&c.id, &c.channel, &c.recipient, &c.payload, &c.attempts, &c.maxAttempts); err != nil {
-			rows.Close()
-			return 0, 0, fmt.Errorf("faellige benachrichtigung lesen: %w", err)
-		}
-		candidates = append(candidates, c)
-	}
-	rows.Close()
-	if err := rows.Err(); err != nil {
-		return 0, 0, err
-	}
-
-	for _, c := range candidates {
-		var payload map[string]any
-		if err := json.Unmarshal(c.payload, &payload); err != nil {
-			payload = map[string]any{}
-		}
-
-		sendErr := sender.Send(ctx, Notification{
-			ID: c.id, Channel: c.channel, Recipient: c.recipient, Payload: payload, Attempts: c.attempts,
-		})
-
-		if sendErr == nil {
-			if _, err := tx.Exec(ctx, `
-				UPDATE notification_jobs SET status = 'sent', updated_at = now() WHERE id = $1
-			`, c.id); err != nil {
-				return sent, failed, fmt.Errorf("erfolg speichern: %w", err)
-			}
-			sent++
-			continue
-		}
-
-		newAttempts := c.attempts + 1
-		if newAttempts >= c.maxAttempts {
-			// Akzeptanzkriterium 2: kontrollierter Abbruch nach definierter
-			// Anzahl Versuche, kein endloses Wiederholen.
-			if _, err := tx.Exec(ctx, `
-				UPDATE notification_jobs
-				SET status = 'failed', attempts = $2, last_error = $3, updated_at = now()
-				WHERE id = $1
-			`, c.id, newAttempts, sendErr.Error()); err != nil {
-				return sent, failed, fmt.Errorf("fehlschlag speichern: %w", err)
-			}
-			failed++
-			continue
-		}
-
-		nextAttempt := time.Now().Add(time.Duration(newAttempts) * d.retryBackoff)
-		if _, err := tx.Exec(ctx, `
-			UPDATE notification_jobs
-			SET attempts = $2, next_attempt_at = $3, last_error = $4, updated_at = now()
-			WHERE id = $1
-		`, c.id, newAttempts, nextAttempt, sendErr.Error()); err != nil {
-			return sent, failed, fmt.Errorf("wiederholung planen: %w", err)
-		}
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		return 0, 0, fmt.Errorf("transaktion committen: %w", err)
-	}
-	return sent, failed, nil
-}
@@ -1,64 +0,0 @@
-// Package notifyapi ist CFG-05: stellt Core CFG-04s
-// internal/notifyprefs.EnqueueIfAllowed als HTTP-Endpunkt fuer andere,
-// physisch getrennte Module (Archive, DMS, Mail) bereit — gleiches Muster
-// wie RBAC-06 (internal/policyapi): reiner Wrapper, kein zweiter
-// Entscheidungspfad, service-token-authentifiziert ueber
-// internal/policyapi.RequireServiceToken.
-package notifyapi
-
-import (
-	"encoding/json"
-	"net/http"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-	"gitea.perlbach24.de/scripte/nexarch/internal/notifyprefs"
-	"gitea.perlbach24.de/scripte/nexarch/internal/policyapi"
-)
-
-// Mount registriert POST /notify/enqueue hinter dem Service-Token-Check.
-func Mount(mux *http.ServeMux, prefs *notifyprefs.Store, dispatcher *notify.Dispatcher, serviceToken string) {
-	mux.HandleFunc("POST /notify/enqueue", policyapi.RequireServiceToken(serviceToken, enqueueHandler(prefs, dispatcher)))
-}
-
-type enqueueRequest struct {
-	TenantSlug string         `json:"tenant_slug"`
-	UserID     string         `json:"user_id"`
-	EventType  string         `json:"event_type"`
-	Channel    string         `json:"channel"`
-	Recipient  string         `json:"recipient"`
-	Payload    map[string]any `json:"payload"`
-}
-
-type enqueueResponse struct {
-	JobID   string `json:"job_id"`
-	Skipped bool   `json:"skipped"`
-}
-
-// enqueueHandler ruft AUSSCHLIESSLICH notifyprefs.EnqueueIfAllowed auf —
-// dieselbe Funktion, die auch core-interne Aufrufer nutzen. Der
-// Praeferenz-Filter (Akzeptanzkriterium 3 aus RET-07, "je Ereignistyp
-// ein-/ausschaltbar") ist dadurch strukturell identisch mit dem
-// direkten Aufruf, nicht nur zufaellig getestet.
-func enqueueHandler(prefs *notifyprefs.Store, dispatcher *notify.Dispatcher) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		var req enqueueRequest
-		if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-			http.Error(w, "ungültiger request-body: "+err.Error(), http.StatusBadRequest)
-			return
-		}
-		if req.TenantSlug == "" || req.UserID == "" || req.EventType == "" || req.Channel == "" || req.Recipient == "" {
-			http.Error(w, "tenant_slug, user_id, event_type, channel und recipient sind pflichtfelder", http.StatusBadRequest)
-			return
-		}
-		jobID, skipped, err := notifyprefs.EnqueueIfAllowed(
-			r.Context(), prefs, dispatcher,
-			req.TenantSlug, req.UserID, req.EventType, req.Channel, req.Recipient, req.Payload,
-		)
-		if err != nil {
-			http.Error(w, err.Error(), http.StatusInternalServerError)
-			return
-		}
-		w.Header().Set("Content-Type", "application/json")
-		_ = json.NewEncoder(w).Encode(enqueueResponse{JobID: jobID, Skipped: skipped})
-	}
-}
@@ -1,176 +0,0 @@
-package notifyapi
-
-import (
-	"bytes"
-	"context"
-	"encoding/json"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-	"gitea.perlbach24.de/scripte/nexarch/internal/notifyprefs"
-)
-
-const testToken = "test-service-token-cfg05"
-
-func setupTest(t *testing.T) (*notifyprefs.Store, *notify.Dispatcher, *pgxpool.Pool) {
-	t.Helper()
-	dsn := os.Getenv("TEST_ADMIN_DSN")
-	if dsn == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS notification_preferences (
-			tenant_slug TEXT NOT NULL, user_id TEXT NOT NULL, event_type TEXT NOT NULL, channel TEXT NOT NULL,
-			enabled BOOLEAN NOT NULL, updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (tenant_slug, user_id, event_type, channel)
-		);
-		CREATE TABLE IF NOT EXISTS notification_jobs (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), channel TEXT NOT NULL, recipient TEXT NOT NULL,
-			payload JSONB NOT NULL DEFAULT '{}'::jsonb, status TEXT NOT NULL DEFAULT 'pending', attempts INT NOT NULL DEFAULT 0,
-			max_attempts INT NOT NULL DEFAULT 5, next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(), last_error TEXT,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `DELETE FROM notification_jobs WHERE recipient LIKE 'cfg05\_%' ESCAPE '\'`)
-		_, _ = pool.Exec(context.Background(), `DELETE FROM notification_preferences WHERE user_id LIKE 'cfg05\_%' ESCAPE '\'`)
-	})
-
-	return notifyprefs.NewStore(pool), notify.NewDispatcher(pool), pool
-}
-
-func post(t *testing.T, server *httptest.Server, token string, req enqueueRequest) *http.Response {
-	t.Helper()
-	body, _ := json.Marshal(req)
-	httpReq, _ := http.NewRequest(http.MethodPost, server.URL+"/notify/enqueue", bytes.NewReader(body))
-	if token != "" {
-		httpReq.Header.Set("X-Service-Token", token)
-	}
-	resp, err := http.DefaultClient.Do(httpReq)
-	if err != nil {
-		t.Fatalf("post: %v", err)
-	}
-	return resp
-}
-
-// TestEnqueueHandler_MissingTokenReturns401 ist die geforderte
-// Pflichtpruefung: Aufruf ohne Service-Token wird abgewiesen, Handler nie
-// erreicht, keine Zustellung ausgeloest.
-func TestEnqueueHandler_MissingTokenReturns401(t *testing.T) {
-	prefs, dispatcher, _ := setupTest(t)
-	mux := http.NewServeMux()
-	Mount(mux, prefs, dispatcher, testToken)
-	server := httptest.NewServer(mux)
-	defer server.Close()
-
-	resp := post(t, server, "", enqueueRequest{
-		TenantSlug: "acme", UserID: "cfg05_user1", EventType: "invoice_ready", Channel: "email", Recipient: "cfg05_user1@acme.example",
-	})
-	defer func() { _ = resp.Body.Close() }()
-	if resp.StatusCode != http.StatusUnauthorized {
-		t.Fatalf("ohne token: status = %d, want 401", resp.StatusCode)
-	}
-}
-
-// TestEnqueueHandler_MatchesDirectEnqueueIfAllowed ist die geforderte
-// Pflichtpruefung: Endpunkt-Verhalten stimmt exakt mit dem direkten
-// EnqueueIfAllowed-Aufruf ueberein, real fuer aktivierten UND deaktivierten
-// Kanal.
-func TestEnqueueHandler_MatchesDirectEnqueueIfAllowed(t *testing.T) {
-	prefs, dispatcher, _ := setupTest(t)
-	mux := http.NewServeMux()
-	Mount(mux, prefs, dispatcher, testToken)
-	server := httptest.NewServer(mux)
-	defer server.Close()
-
-	ctx := context.Background()
-
-	// Fall 1: kein explizites Preference -> Opt-out-Default aktiviert.
-	resp1 := post(t, server, testToken, enqueueRequest{
-		TenantSlug: "acme", UserID: "cfg05_user_enabled", EventType: "invoice_ready", Channel: "email", Recipient: "cfg05_user_enabled@acme.example",
-	})
-	defer func() { _ = resp1.Body.Close() }()
-	if resp1.StatusCode != http.StatusOK {
-		t.Fatalf("aktivierter fall: status = %d, want 200", resp1.StatusCode)
-	}
-	var out1 enqueueResponse
-	if err := json.NewDecoder(resp1.Body).Decode(&out1); err != nil {
-		t.Fatalf("antwort dekodieren: %v", err)
-	}
-	if out1.Skipped || out1.JobID == "" {
-		t.Fatalf("erwartet zugestellt mit job-id, habe: %+v", out1)
-	}
-
-	// Fall 2: Kanal explizit deaktiviert -> muss uebereinstimmend skipped=true liefern,
-	// wie ein direkter EnqueueIfAllowed-Aufruf es auch taete.
-	if err := prefs.Set(ctx, "acme", "cfg05_user_disabled", "invoice_ready", "email", false); err != nil {
-		t.Fatalf("praeferenz setzen: %v", err)
-	}
-	directJobID, directSkipped, err := notifyprefs.EnqueueIfAllowed(ctx, prefs, dispatcher, "acme", "cfg05_user_disabled", "invoice_ready", "email", "cfg05_user_disabled@acme.example", nil)
-	if err != nil {
-		t.Fatalf("direkter aufruf: %v", err)
-	}
-
-	resp2 := post(t, server, testToken, enqueueRequest{
-		TenantSlug: "acme", UserID: "cfg05_user_disabled", EventType: "invoice_ready", Channel: "email", Recipient: "cfg05_user_disabled@acme.example",
-	})
-	defer func() { _ = resp2.Body.Close() }()
-	var out2 enqueueResponse
-	if err := json.NewDecoder(resp2.Body).Decode(&out2); err != nil {
-		t.Fatalf("antwort dekodieren: %v", err)
-	}
-	if out2.Skipped != directSkipped {
-		t.Fatalf("http skipped=%t weicht vom direkten aufruf skipped=%t ab", out2.Skipped, directSkipped)
-	}
-	if !out2.Skipped {
-		t.Fatalf("deaktivierter kanal haette uebersprungen werden muessen, direkt=%q http=%q", directJobID, out2.JobID)
-	}
-}
-
-// TestEnqueueHandler_RealForeignModuleClient simuliert einen Fremd-Modul-
-// Testclient (z. B. Archive/RET-07), der real gegen den laufenden Endpunkt
-// eine Benachrichtigung ausloest.
-func TestEnqueueHandler_RealForeignModuleClient(t *testing.T) {
-	prefs, dispatcher, pool := setupTest(t)
-	mux := http.NewServeMux()
-	Mount(mux, prefs, dispatcher, testToken)
-	server := httptest.NewServer(mux)
-	defer server.Close()
-
-	resp := post(t, server, testToken, enqueueRequest{
-		TenantSlug: "acme", UserID: "cfg05_fremd_modul", EventType: "retention_due_soon", Channel: "email", Recipient: "cfg05_fremd_modul@acme.example",
-	})
-	defer func() { _ = resp.Body.Close() }()
-	if resp.StatusCode != http.StatusOK {
-		t.Fatalf("status = %d, want 200", resp.StatusCode)
-	}
-	var out enqueueResponse
-	if err := json.NewDecoder(resp.Body).Decode(&out); err != nil {
-		t.Fatalf("antwort dekodieren: %v", err)
-	}
-	if out.Skipped || out.JobID == "" {
-		t.Fatalf("erwartet echte job-id, habe: %+v", out)
-	}
-
-	var count int
-	if err := pool.QueryRow(context.Background(), `SELECT count(*) FROM notification_jobs WHERE id = $1`, out.JobID).Scan(&count); err != nil {
-		t.Fatalf("job pruefen: %v", err)
-	}
-	if count != 1 {
-		t.Fatalf("erwartet real angelegte notification_jobs-zeile fuer job-id %s", out.JobID)
-	}
-}
@@ -1,83 +0,0 @@
-package notifyprefs
-
-import (
-	"encoding/json"
-	"net/http"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-// Handler stellt Benachrichtigungspraeferenzen als HTTP-Endpunkte bereit
-// (CFG-04). Duenner Client von Store — keine eigene Zustelllogik.
-type Handler struct {
-	prefs *Store
-}
-
-func NewHandler(prefs *Store) *Handler {
-	return &Handler{prefs: prefs}
-}
-
-type setPreferenceRequest struct {
-	EventType string `json:"event_type"`
-	Channel   string `json:"channel"`
-	Enabled   bool   `json:"enabled"`
-}
-
-// SetPreference setzt die eigene Praeferenz des angemeldeten Benutzers
-// (Akzeptanzkriterium 1). Muss hinter auth.RequireAuth haengen.
-func (h *Handler) SetPreference(w http.ResponseWriter, r *http.Request) {
-	claims, ok := auth.ClaimsFromContext(r.Context())
-	if !ok {
-		http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-		return
-	}
-	var req setPreferenceRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-	if err := h.prefs.Set(r.Context(), claims.TenantSlug, claims.UserID, req.EventType, req.Channel, req.Enabled); err != nil {
-		http.Error(w, "Einstellung konnte nicht gespeichert werden.", http.StatusBadRequest)
-		return
-	}
-	w.WriteHeader(http.StatusOK)
-}
-
-// ListMine liefert die eigenen Praeferenzen (Akzeptanzkriterium 1) — nur die
-// EIGENEN, niemals die eines anderen Benutzers (Pruefung 2). claims.UserID
-// kommt ausschliesslich aus dem verifizierten Session-Token, ist also nicht
-// vom Client manipulierbar.
-func (h *Handler) ListMine(w http.ResponseWriter, r *http.Request) {
-	claims, ok := auth.ClaimsFromContext(r.Context())
-	if !ok {
-		http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-		return
-	}
-	prefs, err := h.prefs.ListForUser(r.Context(), claims.TenantSlug, claims.UserID)
-	if err != nil {
-		http.Error(w, "Einstellungen konnten nicht geladen werden.", http.StatusInternalServerError)
-		return
-	}
-	w.Header().Set("Content-Type", "application/json")
-	_ = json.NewEncoder(w).Encode(prefs)
-}
-
-// ListTenantOverview liefert die Praeferenzen ALLER Benutzer des eigenen
-// Mandanten (Akzeptanzkriterium 3: Tenant-Admin-Übersicht). Die Zugriffs-
-// beschraenkung "nur Tenant-Admin" ist Aufgabe von RBAC-02 (Policy-
-// Enforcement-Schicht) vor diesem Handler — hier wird bewusst keine eigene
-// Rechtelogik dupliziert (Ticket-Produkt-DNA: duenner Client).
-func (h *Handler) ListTenantOverview(w http.ResponseWriter, r *http.Request) {
-	claims, ok := auth.ClaimsFromContext(r.Context())
-	if !ok {
-		http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-		return
-	}
-	prefs, err := h.prefs.ListForTenant(r.Context(), claims.TenantSlug)
-	if err != nil {
-		http.Error(w, "Übersicht konnte nicht geladen werden.", http.StatusInternalServerError)
-		return
-	}
-	w.Header().Set("Content-Type", "application/json")
-	_ = json.NewEncoder(w).Encode(prefs)
-}
@@ -1,122 +0,0 @@
-package notifyprefs
-
-import (
-	"bytes"
-	"encoding/json"
-	"net/http"
-	"net/http/httptest"
-	"testing"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-func sessionCookie(t *testing.T, issuer *auth.TokenIssuer, userID, tenantSlug string) *http.Cookie {
-	t.Helper()
-	token, err := issuer.Issue(userID, tenantSlug)
-	if err != nil {
-		t.Fatalf("session-token ausstellen: %v", err)
-	}
-	return &http.Cookie{Name: auth.CookieName, Value: token}
-}
-
-// Akzeptanzkriterium 1: Benutzer setzt eigene Praeferenz per HTTP.
-func TestHandlerSetAndListMine(t *testing.T) {
-	prefs, _, _, cleanup := setupTest(t)
-	defer cleanup()
-	h := NewHandler(prefs)
-	issuer := auth.NewTokenIssuer("test-secret")
-	cookie := sessionCookie(t, issuer, "user-1", "acme")
-
-	setBody, _ := json.Marshal(setPreferenceRequest{EventType: "welcome", Channel: "email", Enabled: false})
-	setReq := httptest.NewRequest(http.MethodPost, "/notifications/preferences", bytes.NewReader(setBody))
-	setReq.AddCookie(cookie)
-	setRec := httptest.NewRecorder()
-	auth.RequireAuth(issuer, h.SetPreference)(setRec, setReq)
-	if setRec.Code != http.StatusOK {
-		t.Fatalf("set: status = %d, body: %s", setRec.Code, setRec.Body.String())
-	}
-
-	listReq := httptest.NewRequest(http.MethodGet, "/notifications/preferences", nil)
-	listReq.AddCookie(cookie)
-	listRec := httptest.NewRecorder()
-	auth.RequireAuth(issuer, h.ListMine)(listRec, listReq)
-	if listRec.Code != http.StatusOK {
-		t.Fatalf("list: status = %d, body: %s", listRec.Code, listRec.Body.String())
-	}
-	var out []Preference
-	if err := json.Unmarshal(listRec.Body.Bytes(), &out); err != nil {
-		t.Fatalf("response dekodieren: %v", err)
-	}
-	if len(out) != 1 || out[0].Enabled {
-		t.Fatalf("erwartet genau 1 deaktivierte praeferenz, habe %+v", out)
-	}
-}
-
-// Akzeptanzkriterium 1 / Pruefung 2: ListMine zeigt AUSSCHLIESSLICH die
-// eigenen Praeferenzen — die UserID kommt aus dem Session-Token, nicht aus
-// einem vom Client kontrollierbaren Parameter.
-func TestHandlerListMine_NeverShowsOtherUsersPreferences(t *testing.T) {
-	prefs, _, _, cleanup := setupTest(t)
-	defer cleanup()
-	h := NewHandler(prefs)
-	issuer := auth.NewTokenIssuer("test-secret")
-
-	setBody, _ := json.Marshal(setPreferenceRequest{EventType: "welcome", Channel: "email", Enabled: false})
-	setReq := httptest.NewRequest(http.MethodPost, "/notifications/preferences", bytes.NewReader(setBody))
-	setReq.AddCookie(sessionCookie(t, issuer, "user-1", "acme"))
-	setRec := httptest.NewRecorder()
-	auth.RequireAuth(issuer, h.SetPreference)(setRec, setReq)
-	if setRec.Code != http.StatusOK {
-		t.Fatalf("set fuer user-1: status = %d", setRec.Code)
-	}
-
-	// user-2 fragt seine eigenen Praeferenzen ab — muss leer sein.
-	listReq := httptest.NewRequest(http.MethodGet, "/notifications/preferences", nil)
-	listReq.AddCookie(sessionCookie(t, issuer, "user-2", "acme"))
-	listRec := httptest.NewRecorder()
-	auth.RequireAuth(issuer, h.ListMine)(listRec, listReq)
-	if listRec.Code != http.StatusOK {
-		t.Fatalf("list fuer user-2: status = %d", listRec.Code)
-	}
-	var out []Preference
-	if err := json.Unmarshal(listRec.Body.Bytes(), &out); err != nil {
-		t.Fatalf("response dekodieren: %v", err)
-	}
-	if len(out) != 0 {
-		t.Fatalf("user-2 haette user-1s praeferenzen NICHT sehen duerfen, habe %+v", out)
-	}
-}
-
-// Akzeptanzkriterium 3: Tenant-Übersicht liefert alle Benutzer des Mandanten.
-func TestHandlerListTenantOverview(t *testing.T) {
-	prefs, _, _, cleanup := setupTest(t)
-	defer cleanup()
-	h := NewHandler(prefs)
-	issuer := auth.NewTokenIssuer("test-secret")
-
-	for _, u := range []string{"user-1", "user-2"} {
-		body, _ := json.Marshal(setPreferenceRequest{EventType: "welcome", Channel: "email", Enabled: false})
-		req := httptest.NewRequest(http.MethodPost, "/notifications/preferences", bytes.NewReader(body))
-		req.AddCookie(sessionCookie(t, issuer, u, "acme"))
-		rec := httptest.NewRecorder()
-		auth.RequireAuth(issuer, h.SetPreference)(rec, req)
-		if rec.Code != http.StatusOK {
-			t.Fatalf("set fuer %s: status = %d", u, rec.Code)
-		}
-	}
-
-	req := httptest.NewRequest(http.MethodGet, "/notifications/preferences/tenant", nil)
-	req.AddCookie(sessionCookie(t, issuer, "admin-1", "acme"))
-	rec := httptest.NewRecorder()
-	auth.RequireAuth(issuer, h.ListTenantOverview)(rec, req)
-	if rec.Code != http.StatusOK {
-		t.Fatalf("overview: status = %d, body: %s", rec.Code, rec.Body.String())
-	}
-	var out []Preference
-	if err := json.Unmarshal(rec.Body.Bytes(), &out); err != nil {
-		t.Fatalf("response dekodieren: %v", err)
-	}
-	if len(out) != 2 {
-		t.Fatalf("erwartet 2 eintraege (beide Benutzer), habe %d", len(out))
-	}
-}
@@ -1,144 +0,0 @@
-// Package notifyprefs implementiert Core CFG-04: Benachrichtigungspräferenzen
-// je Benutzer, Ereignistyp und Kanal. Duenner Client von CFG-02/03 — keine
-// eigene Zustelllogik, nur ein Filter DAVOR, ob eine Benachrichtigung
-// überhaupt in die Warteschlange (internal/notify.Dispatcher) eingereiht wird.
-package notifyprefs
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-type Preference struct {
-	TenantSlug string
-	UserID     string
-	EventType  string
-	Channel    string
-	Enabled    bool
-}
-
-// Store verwaltet Benachrichtigungspraeferenzen in der zentralen Registry-DB
-// (gleiche Ablageebene wie CFG-03s notification_templates/in_app_notifications).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// Set setzt die Praeferenz eines Benutzers fuer einen Ereignistyp+Kanal
-// (Akzeptanzkriterium 1). Wirkt sofort — es gibt keinen Cache dazwischen,
-// jede Pruefung (IsEnabled) liest direkt aus der DB (Akzeptanzkriterium 2).
-func (s *Store) Set(ctx context.Context, tenantSlug, userID, eventType, channel string, enabled bool) error {
-	if tenantSlug == "" || userID == "" || eventType == "" || channel == "" {
-		return errors.New("notifyprefs: tenantSlug, userID, eventType und channel duerfen nicht leer sein")
-	}
-	_, err := s.pool.Exec(ctx, `
-		INSERT INTO notification_preferences (tenant_slug, user_id, event_type, channel, enabled)
-		VALUES ($1, $2, $3, $4, $5)
-		ON CONFLICT (tenant_slug, user_id, event_type, channel)
-		DO UPDATE SET enabled = $5, updated_at = now()
-	`, tenantSlug, userID, eventType, channel, enabled)
-	if err != nil {
-		return fmt.Errorf("praeferenz speichern: %w", err)
-	}
-	return nil
-}
-
-// IsEnabled prueft, ob ein Kanal fuer einen Ereignistyp aktiv ist. Ohne
-// explizite Praeferenz gilt der Kanal als AKTIVIERT (Opt-out-Default,
-// siehe Migration).
-func (s *Store) IsEnabled(ctx context.Context, tenantSlug, userID, eventType, channel string) (bool, error) {
-	var enabled bool
-	err := s.pool.QueryRow(ctx, `
-		SELECT enabled FROM notification_preferences
-		WHERE tenant_slug = $1 AND user_id = $2 AND event_type = $3 AND channel = $4
-	`, tenantSlug, userID, eventType, channel).Scan(&enabled)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return true, nil
-		}
-		return false, fmt.Errorf("praeferenz lesen: %w", err)
-	}
-	return enabled, nil
-}
-
-// ListForUser liefert alle expliziten Praeferenzen eines Benutzers
-// (Akzeptanzkriterium 1: eigene Einstellungen einsehen/aendern).
-func (s *Store) ListForUser(ctx context.Context, tenantSlug, userID string) ([]Preference, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT event_type, channel, enabled FROM notification_preferences
-		WHERE tenant_slug = $1 AND user_id = $2
-		ORDER BY event_type, channel
-	`, tenantSlug, userID)
-	if err != nil {
-		return nil, fmt.Errorf("praeferenzen auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []Preference
-	for rows.Next() {
-		p := Preference{TenantSlug: tenantSlug, UserID: userID}
-		if err := rows.Scan(&p.EventType, &p.Channel, &p.Enabled); err != nil {
-			return nil, fmt.Errorf("praeferenz lesen: %w", err)
-		}
-		out = append(out, p)
-	}
-	return out, rows.Err()
-}
-
-// ListForTenant liefert ALLE expliziten Praeferenzen aller Benutzer eines
-// Mandanten (Akzeptanzkriterium 3: Tenant-Admin-Übersicht).
-func (s *Store) ListForTenant(ctx context.Context, tenantSlug string) ([]Preference, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT user_id, event_type, channel, enabled FROM notification_preferences
-		WHERE tenant_slug = $1
-		ORDER BY user_id, event_type, channel
-	`, tenantSlug)
-	if err != nil {
-		return nil, fmt.Errorf("mandanten-praeferenzen auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []Preference
-	for rows.Next() {
-		p := Preference{TenantSlug: tenantSlug}
-		if err := rows.Scan(&p.UserID, &p.EventType, &p.Channel, &p.Enabled); err != nil {
-			return nil, fmt.Errorf("praeferenz lesen: %w", err)
-		}
-		out = append(out, p)
-	}
-	return out, rows.Err()
-}
-
-// EnqueueIfAllowed ist der einzige vorgesehene Weg, wie ein Modul eine
-// Benachrichtigung fuer einen konkreten Benutzer+Ereignistyp auslöst: prueft
-// zuerst die Praeferenz, reiht NUR bei Aktivierung tatsaechlich in
-// internal/notify.Dispatcher ein (Akzeptanzkriterium 1 / Pruefung 1 — ein
-// deaktivierter Kanal erzeugt nachweislich KEINE notification_jobs-Zeile,
-// nicht nur eine ignorierte). skipped=true bedeutet: bewusst nicht zugestellt,
-// kein Fehler.
-func EnqueueIfAllowed(
-	ctx context.Context,
-	prefs *Store,
-	dispatcher *notify.Dispatcher,
-	tenantSlug, userID, eventType, channel, recipient string,
-	payload map[string]any,
-) (jobID string, skipped bool, err error) {
-	enabled, err := prefs.IsEnabled(ctx, tenantSlug, userID, eventType, channel)
-	if err != nil {
-		return "", false, err
-	}
-	if !enabled {
-		return "", true, nil
-	}
-	jobID, err = dispatcher.Enqueue(ctx, channel, recipient, payload)
-	return jobID, false, err
-}
@@ -1,183 +0,0 @@
-package notifyprefs
-
-import (
-	"context"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/notify"
-)
-
-func setupTest(t *testing.T) (*Store, *notify.Dispatcher, *pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS notification_preferences (
-			tenant_slug TEXT NOT NULL, user_id TEXT NOT NULL, event_type TEXT NOT NULL, channel TEXT NOT NULL,
-			enabled BOOLEAN NOT NULL, updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (tenant_slug, user_id, event_type, channel)
-		);
-		CREATE TABLE IF NOT EXISTS notification_jobs (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), channel TEXT NOT NULL, recipient TEXT NOT NULL,
-			payload JSONB NOT NULL DEFAULT '{}'::jsonb, status TEXT NOT NULL DEFAULT 'pending', attempts INT NOT NULL DEFAULT 0,
-			max_attempts INT NOT NULL DEFAULT 5, next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(), last_error TEXT,
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() {
-		_, _ = pool.Exec(ctx, `DELETE FROM notification_preferences`)
-		_, _ = pool.Exec(ctx, `DELETE FROM notification_jobs`)
-		pool.Close()
-	}
-	return NewStore(pool), notify.NewDispatcher(pool), pool, cleanup
-}
-
-// Ohne explizite Praeferenz gilt ein Kanal als aktiviert (Opt-out-Default).
-func TestIsEnabled_DefaultsToTrueWithoutPreference(t *testing.T) {
-	prefs, _, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	enabled, err := prefs.IsEnabled(ctx, "acme", "user-1", "welcome", "email")
-	if err != nil {
-		t.Fatalf("is enabled: %v", err)
-	}
-	if !enabled {
-		t.Fatal("erwartet aktiviert als default ohne gesetzte praeferenz")
-	}
-}
-
-// Akzeptanzkriterium 1 + 2: gesetzte Praeferenz wirkt sofort.
-func TestSetAndIsEnabled(t *testing.T) {
-	prefs, _, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if err := prefs.Set(ctx, "acme", "user-1", "welcome", "email", false); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-	enabled, err := prefs.IsEnabled(ctx, "acme", "user-1", "welcome", "email")
-	if err != nil {
-		t.Fatalf("is enabled: %v", err)
-	}
-	if enabled {
-		t.Fatal("erwartet deaktiviert nach Set(..., false)")
-	}
-
-	// Andere Kanaele/Ereignistypen desselben Benutzers bleiben unberuehrt.
-	stillOn, err := prefs.IsEnabled(ctx, "acme", "user-1", "welcome", "in_app")
-	if err != nil {
-		t.Fatalf("is enabled (anderer kanal): %v", err)
-	}
-	if !stillOn {
-		t.Fatal("erwartet: anderer kanal bleibt aktiviert")
-	}
-}
-
-// Akzeptanzkriterium 1 / Pruefung 2: Einstellungen eines Benutzers wirken
-// sich NICHT auf einen anderen Benutzer aus.
-func TestSet_DoesNotAffectOtherUser(t *testing.T) {
-	prefs, _, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if err := prefs.Set(ctx, "acme", "user-1", "welcome", "email", false); err != nil {
-		t.Fatalf("set fuer user-1: %v", err)
-	}
-
-	enabledForOther, err := prefs.IsEnabled(ctx, "acme", "user-2", "welcome", "email")
-	if err != nil {
-		t.Fatalf("is enabled fuer user-2: %v", err)
-	}
-	if !enabledForOther {
-		t.Fatal("praeferenz von user-1 haette user-2 nicht beeinflussen duerfen")
-	}
-}
-
-// Akzeptanzkriterium 1 / Pruefung 1 (Kernbeweis): ein deaktivierter Kanal
-// erhaelt NACHWEISLICH keine weitere Zustellung — geprueft ueber die
-// tatsaechliche notification_jobs-Tabelle, nicht nur ueber den Rueckgabewert.
-func TestEnqueueIfAllowed_SkipsWhenDisabled(t *testing.T) {
-	prefs, dispatcher, pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if err := prefs.Set(ctx, "acme", "user-1", "invoice_ready", "email", false); err != nil {
-		t.Fatalf("set: %v", err)
-	}
-
-	jobID, skipped, err := EnqueueIfAllowed(ctx, prefs, dispatcher, "acme", "user-1", "invoice_ready", "email", "user1@acme.example", nil)
-	if err != nil {
-		t.Fatalf("enqueue if allowed: %v", err)
-	}
-	if !skipped {
-		t.Fatal("erwartet skipped=true bei deaktiviertem kanal")
-	}
-	if jobID != "" {
-		t.Fatalf("erwartet keine job-id, habe %q", jobID)
-	}
-
-	var count int
-	if err := pool.QueryRow(ctx, `SELECT count(*) FROM notification_jobs`).Scan(&count); err != nil {
-		t.Fatalf("notification_jobs zaehlen: %v", err)
-	}
-	if count != 0 {
-		t.Fatalf("erwartet 0 eingereihte jobs bei deaktiviertem kanal, habe %d", count)
-	}
-}
-
-func TestEnqueueIfAllowed_EnqueuesWhenEnabled(t *testing.T) {
-	prefs, dispatcher, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	jobID, skipped, err := EnqueueIfAllowed(ctx, prefs, dispatcher, "acme", "user-1", "invoice_ready", "email", "user1@acme.example", nil)
-	if err != nil {
-		t.Fatalf("enqueue if allowed: %v", err)
-	}
-	if skipped {
-		t.Fatal("erwartet skipped=false ohne deaktivierte praeferenz")
-	}
-	if jobID == "" {
-		t.Fatal("erwartet gesetzte job-id")
-	}
-}
-
-// Akzeptanzkriterium 3: Tenant-Admin-Übersicht zeigt alle Benutzer.
-func TestListForTenant_ShowsAllUsers(t *testing.T) {
-	prefs, _, _, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if err := prefs.Set(ctx, "acme", "user-1", "welcome", "email", false); err != nil {
-		t.Fatalf("set user-1: %v", err)
-	}
-	if err := prefs.Set(ctx, "acme", "user-2", "welcome", "in_app", false); err != nil {
-		t.Fatalf("set user-2: %v", err)
-	}
-	if err := prefs.Set(ctx, "other-tenant", "user-3", "welcome", "email", false); err != nil {
-		t.Fatalf("set user-3 (anderer tenant): %v", err)
-	}
-
-	overview, err := prefs.ListForTenant(ctx, "acme")
-	if err != nil {
-		t.Fatalf("list for tenant: %v", err)
-	}
-	if len(overview) != 2 {
-		t.Fatalf("erwartet 2 eintraege fuer tenant acme (nicht den anderen tenant), habe %d", len(overview))
-	}
-}
@@ -1,67 +0,0 @@
-package policy
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
-)
-
-// ErrDenied wird geliefert, wenn keine Regel role+permission erlaubt —
-// Default-Deny (Akzeptanzkriterium 2).
-var ErrDenied = errors.New("policy: zugriff verweigert")
-
-// Enforcer ist die EINE zentrale Entscheidungs- und Durchsetzungsschicht
-// (Akzeptanzkriterium 1). Repository-/Query-Code ruft ausschliesslich Guard
-// bzw. GuardTenantScoped auf, nie eine Rohabfrage direkt.
-type Enforcer struct {
-	store *Store
-}
-
-func NewEnforcer(store *Store) *Enforcer {
-	return &Enforcer{store: store}
-}
-
-// Authorize entscheidet erlaubt/verboten — unabhaengig von jeder konkreten
-// Query, rein anhand der deklarativen Regeln (Akzeptanzkriterium 2: fuer
-// sich genommen testbar, ohne Anwendungslogik).
-func (e *Enforcer) Authorize(ctx context.Context, role rbac.Role, perm rbac.Permission) error {
-	allowed, err := e.store.IsAllowed(ctx, role, perm)
-	if err != nil {
-		return err
-	}
-	if !allowed {
-		return fmt.Errorf("%w: rolle %q hat kein recht %q", ErrDenied, role, perm)
-	}
-	return nil
-}
-
-// Guard ist die zentrale Enforcement-Funktion (Akzeptanzkriterium 1): query
-// wird NUR aufgerufen, wenn Authorize zustimmt. Es gibt keinen Weg, query
-// ausserhalb von Guard aufzurufen und trotzdem den Aufrufer als autorisiert
-// zu behandeln — die Autorisierungsentscheidung steht immer VOR dem
-// Datenzugriff, nie danach.
-func Guard[T any](ctx context.Context, e *Enforcer, role rbac.Role, perm rbac.Permission, query func(ctx context.Context) (T, error)) (T, error) {
-	var zero T
-	if err := e.Authorize(ctx, role, perm); err != nil {
-		return zero, err
-	}
-	return query(ctx)
-}
-
-// GuardTenantScoped erzwingt zusaetzlich, dass tenantSlug TEIL der Query-
-// Funktion selbst ist (Akzeptanzkriterium 3): der Funktionstyp verlangt,
-// dass die Repository-Implementierung tenantSlug in ihre eigene WHERE-
-// Klausel einbaut — ein nachgelagerter Filter auf dem Ergebnis (der
-// archivmail-Fehler aus "Bekannte Fehler vermeiden") ist mit dieser
-// Signatur nicht moeglich, da die Query-Funktion tenantSlug selbst
-// entgegennimmt und dafuer verantwortlich ist, statt ihn hinterher
-// anzuwenden.
-func GuardTenantScoped[T any](ctx context.Context, e *Enforcer, role rbac.Role, perm rbac.Permission, tenantSlug string, query func(ctx context.Context, tenantSlug string) (T, error)) (T, error) {
-	var zero T
-	if err := e.Authorize(ctx, role, perm); err != nil {
-		return zero, err
-	}
-	return query(ctx, tenantSlug)
-}
@@ -1,187 +0,0 @@
-package policy
-
-import (
-	"context"
-	"errors"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
-)
-
-func setupTest(t *testing.T) (*Store, *Enforcer, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS policy_rules (
-			role TEXT NOT NULL, permission TEXT NOT NULL,
-			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (role, permission)
-		);
-		CREATE TABLE IF NOT EXISTS policy_rule_changes (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), role TEXT NOT NULL, permission TEXT NOT NULL,
-			action TEXT NOT NULL CHECK (action IN ('grant','revoke')), actor TEXT NOT NULL,
-			version INT NOT NULL, changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	store := NewStore(pool)
-	cleanup := func() {
-		_, _ = pool.Exec(ctx, `DELETE FROM policy_rule_changes WHERE role LIKE 'test\_%' ESCAPE '\'`)
-		_, _ = pool.Exec(ctx, `DELETE FROM policy_rules WHERE role LIKE 'test\_%' ESCAPE '\'`)
-		pool.Close()
-	}
-	return store, NewEnforcer(store), cleanup
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Anfrage ohne passende Policy wird
-// zuverlaessig abgewiesen (Default-Deny), nicht standardmaessig erlaubt.
-func TestAuthorize_DefaultDeny(t *testing.T) {
-	_, enforcer, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	err := enforcer.Authorize(ctx, rbac.Role("test_niemand"), rbac.Permission("test_irgendwas"))
-	if !errors.Is(err, ErrDenied) {
-		t.Fatalf("erwartet ErrDenied ohne konfigurierte regel, habe %v", err)
-	}
-}
-
-// Akzeptanzkriterium 1 + Pruefung 1: Guard ruft query NUR bei Autorisierung
-// auf — kein Datenzugriffs-Pfad umgeht die Enforcement-Schicht.
-func TestGuard_NeverCallsQueryWithoutAuthorization(t *testing.T) {
-	store, enforcer, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	role := rbac.Role("test_rolle_guard")
-	perm := rbac.Permission("test_lesen")
-
-	queryCalled := false
-	_, err := Guard(ctx, enforcer, role, perm, func(ctx context.Context) (string, error) {
-		queryCalled = true
-		return "geheime-daten", nil
-	})
-	if !errors.Is(err, ErrDenied) {
-		t.Fatalf("erwartet ErrDenied, habe %v", err)
-	}
-	if queryCalled {
-		t.Fatal("query haette bei fehlender autorisierung NICHT aufgerufen werden duerfen")
-	}
-
-	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
-		t.Fatalf("grant: %v", err)
-	}
-
-	result, err := Guard(ctx, enforcer, role, perm, func(ctx context.Context) (string, error) {
-		queryCalled = true
-		return "geheime-daten", nil
-	})
-	if err != nil {
-		t.Fatalf("guard nach grant: %v", err)
-	}
-	if !queryCalled || result != "geheime-daten" {
-		t.Fatalf("erwartet query-aufruf mit ergebnis nach autorisierung, habe queryCalled=%v result=%q", queryCalled, result)
-	}
-}
-
-// Akzeptanzkriterium 2 + 3: Policy-Entscheidungen deklarativ und unabhaengig
-// von Anwendungslogik testbar — Regelwechsel wirkt ohne Codeaenderung,
-// Historie ist versioniert nachvollziehbar.
-func TestGrantRevoke_ChangesBehaviorWithoutCodeChange(t *testing.T) {
-	store, enforcer, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	role := rbac.Role("test_rolle_history")
-	perm := rbac.Permission("test_schreiben")
-
-	allowed, err := store.IsAllowed(ctx, role, perm)
-	if err != nil {
-		t.Fatalf("is allowed (vorher): %v", err)
-	}
-	if allowed {
-		t.Fatal("erwartet nicht erlaubt vor grant")
-	}
-
-	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
-		t.Fatalf("grant: %v", err)
-	}
-	if err := enforcer.Authorize(ctx, role, perm); err != nil {
-		t.Fatalf("authorize nach grant sollte erlauben: %v", err)
-	}
-
-	if err := store.Revoke(ctx, role, perm, "admin@example.com"); err != nil {
-		t.Fatalf("revoke: %v", err)
-	}
-	if err := enforcer.Authorize(ctx, role, perm); !errors.Is(err, ErrDenied) {
-		t.Fatalf("authorize nach revoke sollte verweigern, habe %v", err)
-	}
-
-	history, err := store.History(ctx, role, perm)
-	if err != nil {
-		t.Fatalf("history: %v", err)
-	}
-	if len(history) != 2 {
-		t.Fatalf("erwartet 2 historieneintraege (grant, revoke), habe %d", len(history))
-	}
-	if history[0].Action != "grant" || history[0].Version != 1 {
-		t.Fatalf("history[0] unerwartet: %+v", history[0])
-	}
-	if history[1].Action != "revoke" || history[1].Version != 2 {
-		t.Fatalf("history[1] unerwartet: %+v", history[1])
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3 (Tenant-Scoping): GuardTenantScoped
-// zwingt tenantSlug in die Query-Funktion selbst, kein Post-Filter moeglich.
-func TestGuardTenantScoped_IsolatesDataBetweenTenants(t *testing.T) {
-	_, enforcer, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	// Simuliertes Repository: die WHERE-Klausel (hier: Map-Lookup) liegt
-	// INNERHALB der Query-Funktion, nicht als nachgelagerter Filter.
-	data := map[string][]string{
-		"acme":   {"dokument-a1", "dokument-a2"},
-		"globex": {"dokument-b1"},
-	}
-	repoQuery := func(ctx context.Context, tenantSlug string) ([]string, error) {
-		return data[tenantSlug], nil
-	}
-
-	role := rbac.Role("test_tenant_rolle")
-	perm := rbac.Permission("test_dokumente_lesen")
-	if err := enforcer.store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
-		t.Fatalf("grant: %v", err)
-	}
-
-	gotAcme, err := GuardTenantScoped(ctx, enforcer, role, perm, "acme", repoQuery)
-	if err != nil {
-		t.Fatalf("guard tenant scoped (acme): %v", err)
-	}
-	if len(gotAcme) != 2 {
-		t.Fatalf("erwartet 2 dokumente fuer acme, habe %d", len(gotAcme))
-	}
-
-	gotGlobex, err := GuardTenantScoped(ctx, enforcer, role, perm, "globex", repoQuery)
-	if err != nil {
-		t.Fatalf("guard tenant scoped (globex): %v", err)
-	}
-	if len(gotGlobex) != 1 {
-		t.Fatalf("erwartet 1 dokument fuer globex, habe %d", len(gotGlobex))
-	}
-}
@@ -1,124 +0,0 @@
-// Package policy implementiert Core RBAC-02: die zentrale Policy-
-// Entscheidungs- und Durchsetzungsschicht. Regeln liegen deklarativ in der
-// Datenbank (Casbin-Prinzip: Policy als Modell+Regeln getrennt vom Code),
-// versioniert und auditierbar — anders als Casbin-Dateien im Dateisystem
-// (siehe "bewusst vermeiden" im Ticket).
-package policy
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
-)
-
-// Rule ist eine gewaehrte Regel: role darf permission.
-type Rule struct {
-	Role       rbac.Role
-	Permission rbac.Permission
-}
-
-// RuleChange ist ein Eintrag der Aenderungshistorie (Akzeptanzkriterium 3).
-type RuleChange struct {
-	Role       rbac.Role
-	Permission rbac.Permission
-	Action     string // "grant" oder "revoke"
-	Actor      string
-	Version    int
-}
-
-// Store verwaltet den deklarativen Regelsatz. IsAllowed schaut NUR in die
-// Datenbank — es gibt keinen hartcodierten Go-Fallback, ein Regelwechsel
-// wirkt sich ohne Codeaenderung sofort aus (Akzeptanzkriterium 2 / 3).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// IsAllowed prueft, ob role das Recht permission besitzt. Default-Deny:
-// existiert keine passende Regel, ist der Zugriff verboten
-// (Akzeptanzkriterium 2 / Pruefung 2) — es gibt keinen impliziten
-// "erlaubt, wenn nichts anderes gesagt"-Pfad.
-func (s *Store) IsAllowed(ctx context.Context, role rbac.Role, perm rbac.Permission) (bool, error) {
-	var exists bool
-	err := s.pool.QueryRow(ctx, `
-		SELECT EXISTS(SELECT 1 FROM policy_rules WHERE role = $1 AND permission = $2)
-	`, string(role), string(perm)).Scan(&exists)
-	if err != nil {
-		return false, fmt.Errorf("policy pruefen: %w", err)
-	}
-	return exists, nil
-}
-
-// Grant gewaehrt role das Recht permission — deklarativ, ohne Codeaenderung
-// wirksam. actor wird fuer die Aenderungshistorie festgehalten.
-func (s *Store) Grant(ctx context.Context, role rbac.Role, perm rbac.Permission, actor string) error {
-	return s.change(ctx, role, perm, "grant", actor, `
-		INSERT INTO policy_rules (role, permission, granted_by, granted_at)
-		VALUES ($1, $2, $3, now())
-		ON CONFLICT (role, permission) DO UPDATE SET granted_by = $3, granted_at = now()
-	`, string(role), string(perm), actor)
-}
-
-// Revoke entzieht role das Recht permission.
-func (s *Store) Revoke(ctx context.Context, role rbac.Role, perm rbac.Permission, actor string) error {
-	return s.change(ctx, role, perm, "revoke", actor, `
-		DELETE FROM policy_rules WHERE role = $1 AND permission = $2
-	`, string(role), string(perm))
-}
-
-func (s *Store) change(ctx context.Context, role rbac.Role, perm rbac.Permission, action, actor, sql string, args ...any) error {
-	tx, err := s.pool.Begin(ctx)
-	if err != nil {
-		return fmt.Errorf("transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	if _, err := tx.Exec(ctx, sql, args...); err != nil {
-		return fmt.Errorf("regel aendern: %w", err)
-	}
-
-	var version int
-	if err := tx.QueryRow(ctx, `
-		SELECT COALESCE(MAX(version), 0) + 1 FROM policy_rule_changes WHERE role = $1 AND permission = $2
-	`, string(role), string(perm)).Scan(&version); err != nil {
-		return fmt.Errorf("naechste version ermitteln: %w", err)
-	}
-
-	if _, err := tx.Exec(ctx, `
-		INSERT INTO policy_rule_changes (role, permission, action, actor, version, changed_at)
-		VALUES ($1, $2, $3, $4, $5, now())
-	`, string(role), string(perm), action, actor, version); err != nil {
-		return fmt.Errorf("historie schreiben: %w", err)
-	}
-
-	return tx.Commit(ctx)
-}
-
-// History liefert die vollstaendige, versionierte Aenderungshistorie einer
-// Regel (Akzeptanzkriterium 3).
-func (s *Store) History(ctx context.Context, role rbac.Role, perm rbac.Permission) ([]RuleChange, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT action, actor, version FROM policy_rule_changes
-		WHERE role = $1 AND permission = $2 ORDER BY version
-	`, string(role), string(perm))
-	if err != nil {
-		return nil, fmt.Errorf("historie abfragen: %w", err)
-	}
-	defer rows.Close()
-
-	var out []RuleChange
-	for rows.Next() {
-		c := RuleChange{Role: role, Permission: perm}
-		if err := rows.Scan(&c.Action, &c.Actor, &c.Version); err != nil {
-			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
-		}
-		out = append(out, c)
-	}
-	return out, rows.Err()
-}
@@ -1,38 +0,0 @@
-// Package policyapi implementiert RBAC-06: einen HTTP-Endpunkt, der
-// Core RBAC-02s Enforcer.Authorize für andere, physisch getrennte
-// Go-Module (DMS, Mail, Archive) zugänglich macht — dieselbe
-// Entscheidung wie der direkte Enforcer-Aufruf, nur per HTTP statt
-// In-Process.
-package policyapi
-
-import (
-	"crypto/sha256"
-	"crypto/subtle"
-	"net/http"
-)
-
-// RequireServiceToken authentifiziert den Aufrufer service-zu-service
-// über einen geteilten Token (Umgebungsvariable, nie im Code — siehe
-// Ticket-Abschlussregel), timing-safe verglichen (dieselbe
-// Referenzimplementierung wie AUD-02: subtle.ConstantTimeCompare,
-// projektweite Konvention für jeden sicherheitsrelevanten Vergleich).
-// Bewusst KEIN vollwertiges Credential-Ausstellungssystem
-// (moduleregistry.Provision/Authenticate) — dieser Endpunkt braucht
-// keine Modul-Aktivierungsverwaltung, nur einen einzelnen, über
-// Konfiguration verteilten Zugangsschlüssel (Akzeptanzkriterium 2).
-func RequireServiceToken(expectedToken string, next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		got := r.Header.Get("X-Service-Token")
-		if got == "" || !timingSafeEqual(got, expectedToken) {
-			http.Error(w, "authentifizierung fehlgeschlagen: gültiges X-Service-Token erforderlich", http.StatusUnauthorized)
-			return
-		}
-		next(w, r)
-	}
-}
-
-func timingSafeEqual(a, b string) bool {
-	ha := sha256.Sum256([]byte(a))
-	hb := sha256.Sum256([]byte(b))
-	return subtle.ConstantTimeCompare(ha[:], hb[:]) == 1
-}
@@ -1,63 +0,0 @@
-package policyapi
-
-import (
-	"net/http"
-	"net/http/httptest"
-	"testing"
-)
-
-// TestRequireServiceToken_MissingOrWrongTokenReturns401 ist die
-// Pflichtpruefung: Aufruf ohne gueltige Service-Credentials wird
-// abgewiesen, nicht mit einer Policy-Entscheidung beantwortet.
-func TestRequireServiceToken_MissingOrWrongTokenReturns401(t *testing.T) {
-	called := false
-	handler := RequireServiceToken("richtiges-token", func(w http.ResponseWriter, r *http.Request) {
-		called = true
-		w.WriteHeader(http.StatusOK)
-	})
-	server := httptest.NewServer(handler)
-	defer server.Close()
-
-	resp, err := http.Get(server.URL)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	if resp.StatusCode != http.StatusUnauthorized {
-		t.Fatalf("ohne token: status = %d, want 401", resp.StatusCode)
-	}
-	if called {
-		t.Fatal("handler haette bei fehlendem token nie erreicht werden duerfen")
-	}
-
-	req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
-	req.Header.Set("X-Service-Token", "falsches-token")
-	resp2, err := http.DefaultClient.Do(req)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	defer func() { _ = resp2.Body.Close() }()
-	if resp2.StatusCode != http.StatusUnauthorized {
-		t.Fatalf("mit falschem token: status = %d, want 401", resp2.StatusCode)
-	}
-}
-
-// TestRequireServiceToken_CorrectTokenAllowsAccess ist der Gegentest.
-func TestRequireServiceToken_CorrectTokenAllowsAccess(t *testing.T) {
-	handler := RequireServiceToken("richtiges-token", func(w http.ResponseWriter, r *http.Request) {
-		w.WriteHeader(http.StatusOK)
-	})
-	server := httptest.NewServer(handler)
-	defer server.Close()
-
-	req, _ := http.NewRequest(http.MethodGet, server.URL, nil)
-	req.Header.Set("X-Service-Token", "richtiges-token")
-	resp, err := http.DefaultClient.Do(req)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	if resp.StatusCode != http.StatusOK {
-		t.Fatalf("mit korrektem token: status = %d, want 200", resp.StatusCode)
-	}
-}
@@ -1,56 +0,0 @@
-package policyapi
-
-import (
-	"encoding/json"
-	"errors"
-	"net/http"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/policy"
-	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
-)
-
-// Mount registriert den Autorisierungs-Endpunkt auf mux, hinter dem
-// Service-Token-Check (Akzeptanzkriterium 2).
-func Mount(mux *http.ServeMux, enforcer *policy.Enforcer, serviceToken string) {
-	mux.HandleFunc("POST /authorize", RequireServiceToken(serviceToken, authorizeHandler(enforcer)))
-}
-
-type authorizeRequest struct {
-	Role       string `json:"role"`
-	Permission string `json:"permission"`
-}
-
-type authorizeResponse struct {
-	Allowed bool `json:"allowed"`
-}
-
-// authorizeHandler ruft AUSSCHLIESSLICH enforcer.Authorize auf — keine
-// eigene, zweite Autorisierungsentscheidung (Akzeptanzkriterium 1: die
-// HTTP-Antwort MUSS mit dem direkten Enforcer-Ergebnis übereinstimmen,
-// das ist strukturell garantiert, weil es derselbe Aufruf ist, nicht
-// nur getestet).
-func authorizeHandler(enforcer *policy.Enforcer) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		var req authorizeRequest
-		if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-			http.Error(w, "ungültiger request-body: "+err.Error(), http.StatusBadRequest)
-			return
-		}
-		if req.Role == "" || req.Permission == "" {
-			http.Error(w, "role und permission sind pflichtfelder", http.StatusBadRequest)
-			return
-		}
-
-		err := enforcer.Authorize(r.Context(), rbac.Role(req.Role), rbac.Permission(req.Permission))
-		allowed := err == nil
-		if err != nil && !errors.Is(err, policy.ErrDenied) {
-			// Ein anderer Fehler als "verboten" (z.B. DB-Fehler) ist kein
-			// gueltiges Allow/Deny-Ergebnis, sondern ein echter Fehlerfall.
-			http.Error(w, err.Error(), http.StatusInternalServerError)
-			return
-		}
-
-		w.Header().Set("Content-Type", "application/json")
-		_ = json.NewEncoder(w).Encode(authorizeResponse{Allowed: allowed})
-	}
-}
@@ -1,116 +0,0 @@
-package policyapi
-
-import (
-	"bytes"
-	"context"
-	"encoding/json"
-	"errors"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/policy"
-	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
-)
-
-const testToken = "test-service-token"
-
-func setupTest(t *testing.T) *policy.Enforcer {
-	t.Helper()
-	dsn := os.Getenv("TEST_ADMIN_DSN")
-	if dsn == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	if _, err := pool.Exec(ctx, `
-		CREATE EXTENSION IF NOT EXISTS pgcrypto;
-		CREATE TABLE IF NOT EXISTS policy_rules (
-			role TEXT NOT NULL, permission TEXT NOT NULL,
-			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (role, permission)
-		);
-		CREATE TABLE IF NOT EXISTS policy_rule_changes (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), role TEXT NOT NULL, permission TEXT NOT NULL,
-			action TEXT NOT NULL CHECK (action IN ('grant','revoke')), actor TEXT NOT NULL,
-			version INT NOT NULL, changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `DELETE FROM policy_rule_changes WHERE role LIKE 'rbac06\_%' ESCAPE '\'`)
-		_, _ = pool.Exec(context.Background(), `DELETE FROM policy_rules WHERE role LIKE 'rbac06\_%' ESCAPE '\'`)
-	})
-
-	store := policy.NewStore(pool)
-	if err := store.Grant(ctx, rbac.Role("rbac06_erlaubte_rolle"), rbac.Permission("rbac06_recht"), "test"); err != nil {
-		t.Fatalf("grant: %v", err)
-	}
-	return policy.NewEnforcer(store)
-}
-
-func authorize(t *testing.T, server *httptest.Server, role, permission string) (int, bool) {
-	t.Helper()
-	body, _ := json.Marshal(authorizeRequest{Role: role, Permission: permission})
-	req, _ := http.NewRequest(http.MethodPost, server.URL+"/authorize", bytes.NewReader(body))
-	req.Header.Set("X-Service-Token", testToken)
-	resp, err := http.DefaultClient.Do(req)
-	if err != nil {
-		t.Fatalf("post: %v", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	if resp.StatusCode != http.StatusOK {
-		return resp.StatusCode, false
-	}
-	var out authorizeResponse
-	if err := json.NewDecoder(resp.Body).Decode(&out); err != nil {
-		t.Fatalf("antwort dekodieren: %v", err)
-	}
-	return resp.StatusCode, out.Allowed
-}
-
-// TestAuthorizeHandler_MatchesDirectEnforcerResult ist die geforderte
-// Pflichtpruefung: Endpunkt-Antwort stimmt in 100 Stichproben exakt mit
-// dem direkten Enforcer.Authorize-Ergebnis ueberein - real fuer sowohl
-// erlaubte als auch verbotene role+permission-Kombinationen.
-func TestAuthorizeHandler_MatchesDirectEnforcerResult(t *testing.T) {
-	enforcer := setupTest(t)
-	mux := http.NewServeMux()
-	Mount(mux, enforcer, testToken)
-	server := httptest.NewServer(mux)
-	defer server.Close()
-
-	cases := []struct {
-		role, permission string
-	}{
-		{"rbac06_erlaubte_rolle", "rbac06_recht"},   // erlaubt
-		{"rbac06_unbekannte_rolle", "rbac06_recht"}, // verboten (default-deny)
-		{"rbac06_erlaubte_rolle", "rbac06_anderes"}, // verboten (falsches recht)
-	}
-
-	for i := 0; i < 100; i++ {
-		c := cases[i%len(cases)]
-		directErr := enforcer.Authorize(context.Background(), rbac.Role(c.role), rbac.Permission(c.permission))
-		directAllowed := directErr == nil
-		if directErr != nil && !errors.Is(directErr, policy.ErrDenied) {
-			t.Fatalf("stichprobe %d: unerwarteter enforcer-fehler: %v", i, directErr)
-		}
-
-		status, httpAllowed := authorize(t, server, c.role, c.permission)
-		if status != http.StatusOK {
-			t.Fatalf("stichprobe %d: unerwarteter status %d", i, status)
-		}
-		if httpAllowed != directAllowed {
-			t.Fatalf("stichprobe %d (%s/%s): http=%t, direkt=%t - weichen ab", i, c.role, c.permission, httpAllowed, directAllowed)
-		}
-	}
-}
@@ -1,71 +0,0 @@
-// Package rbac implementiert Core RBAC-01: das Rollenmodell mit
-// Grundrollen/-rechten, Hierarchie und Zuweisung. Die eigentliche
-// Durchsetzung (erlaubt/verboten je Request) ist RBAC-02, dieses Paket
-// liefert nur Modell + Zuweisung (Casbin-Prinzip: Policy-Modell getrennt
-// von der Entscheidungsfunktion).
-package rbac
-
-// Role ist eine der drei Grundrollen. Superadmin lebt mandantenuebergreifend
-// (siehe internal/user.SuperadminStore aus IAM-01) und wird deshalb NICHT
-// ueber Store (tenant-gescoped) zugewiesen — die Existenz eines Superadmin-
-// Kontos IST die Rollenzuweisung.
-type Role string
-
-const (
-	RoleSuperadmin  Role = "superadmin"
-	RoleTenantAdmin Role = "tenant_admin"
-	RoleUser        Role = "user"
-)
-
-type Permission string
-
-const (
-	PermSelfRead       Permission = "self.read"
-	PermSelfUpdate     Permission = "self.update"
-	PermManageUsers    Permission = "tenant.manage_users"
-	PermManageSettings Permission = "tenant.manage_settings"
-	PermManageTenants  Permission = "platform.manage_tenants"
-)
-
-// parent bildet die Rollenhierarchie ab (Akzeptanzkriterium 2): eine Rolle
-// erbt alle Rechte ihrer Elternrolle. tenant_admin erbt von user,
-// superadmin erbt von tenant_admin.
-var parent = map[Role]Role{
-	RoleTenantAdmin: RoleUser,
-	RoleSuperadmin:  RoleTenantAdmin,
-}
-
-// direct sind die einer Rolle direkt (ohne Vererbung) zugeordneten Rechte.
-var direct = map[Role][]Permission{
-	RoleUser:        {PermSelfRead, PermSelfUpdate},
-	RoleTenantAdmin: {PermManageUsers, PermManageSettings},
-	RoleSuperadmin:  {PermManageTenants},
-}
-
-// EffectivePermissions liefert die vollstaendige, ueber die Hierarchie
-// aufgeloeste Rechtemenge einer Rolle (Akzeptanzkriterium 2 / Pruefung 2).
-func EffectivePermissions(role Role) []Permission {
-	seen := make(map[Permission]bool)
-	var out []Permission
-
-	for r, ok := role, true; ok; r, ok = parent[r] {
-		for _, p := range direct[r] {
-			if !seen[p] {
-				seen[p] = true
-				out = append(out, p)
-			}
-		}
-	}
-	return out
-}
-
-// HasPermission prueft, ob eine Rolle (inklusive geerbter Rechte) ein
-// bestimmtes Recht besitzt.
-func HasPermission(role Role, perm Permission) bool {
-	for _, p := range EffectivePermissions(role) {
-		if p == perm {
-			return true
-		}
-	}
-	return false
-}
@@ -1,48 +0,0 @@
-package rbac
-
-import "testing"
-
-func contains(perms []Permission, p Permission) bool {
-	for _, x := range perms {
-		if x == p {
-			return true
-		}
-	}
-	return false
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Rollenhierarchie liefert die erwartete
-// effektive Rechtemenge.
-func TestEffectivePermissions_Inheritance(t *testing.T) {
-	userPerms := EffectivePermissions(RoleUser)
-	if !contains(userPerms, PermSelfRead) || !contains(userPerms, PermSelfUpdate) {
-		t.Fatalf("user sollte self.read/self.update haben, habe %v", userPerms)
-	}
-	if contains(userPerms, PermManageUsers) {
-		t.Fatal("user sollte KEIN tenant.manage_users haben")
-	}
-
-	adminPerms := EffectivePermissions(RoleTenantAdmin)
-	if !contains(adminPerms, PermSelfRead) || !contains(adminPerms, PermManageUsers) || !contains(adminPerms, PermManageSettings) {
-		t.Fatalf("tenant_admin sollte geerbte user-rechte + eigene rechte haben, habe %v", adminPerms)
-	}
-	if contains(adminPerms, PermManageTenants) {
-		t.Fatal("tenant_admin sollte KEIN platform.manage_tenants haben")
-	}
-
-	superPerms := EffectivePermissions(RoleSuperadmin)
-	for _, want := range []Permission{PermSelfRead, PermSelfUpdate, PermManageUsers, PermManageSettings, PermManageTenants} {
-		if !contains(superPerms, want) {
-			t.Fatalf("superadmin sollte %q haben (volle vererbte kette), habe %v", want, superPerms)
-		}
-	}
-}
-
-func TestHasPermission(t *testing.T) {
-	if !HasPermission(RoleTenantAdmin, PermSelfRead) {
-		t.Fatal("tenant_admin sollte geerbtes self.read haben")
-	}
-	if HasPermission(RoleUser, PermManageTenants) {
-		t.Fatal("user sollte platform.manage_tenants nicht haben")
-	}
-}
@@ -1,124 +0,0 @@
-package rbac
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-var (
-	// ErrRoleNotAssignableInTenantScope wird geliefert, wenn versucht wird,
-	// eine mandantenuebergreifende Rolle (superadmin) ueber den tenant-
-	// gescopten Store zu vergeben — die erlaubte Matrix laesst hier nur
-	// user/tenant_admin zu (Akzeptanzkriterium 1 / Pruefung 1).
-	ErrRoleNotAssignableInTenantScope = errors.New("rbac: rolle ist in diesem geltungsbereich nicht zuweisbar")
-	ErrNotFound                       = errors.New("rbac: keine rollenzuweisung gefunden")
-)
-
-// assignableRoles ist die erlaubte Matrix fuer Store (tenant-gescoped).
-var assignableRoles = map[Role]bool{
-	RoleUser:        true,
-	RoleTenantAdmin: true,
-}
-
-type Assignment struct {
-	UserID    string
-	Role      Role
-	GrantedBy string
-}
-
-// Store verwaltet Rollenzuweisungen innerhalb GENAU EINER Tenant-Datenbank —
-// analog zu internal/user.TenantUserStore (Modell C: der Pool bestimmt den
-// Tenant, keine tenant_id-Spalte noetig).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// Assign vergibt eine Rolle an einen Benutzer. grantedBy identifiziert den
-// Akteur, der die Zuweisung vorgenommen hat (Akzeptanzkriterium 3). Jede
-// Zuweisung wird zusaetzlich in role_assignment_history festgehalten, auch
-// wenn sie eine vorherige Rolle ersetzt.
-func (s *Store) Assign(ctx context.Context, userID string, role Role, grantedBy string) (Assignment, error) {
-	if !assignableRoles[role] {
-		return Assignment{}, ErrRoleNotAssignableInTenantScope
-	}
-	if grantedBy == "" {
-		return Assignment{}, errors.New("rbac: grantedBy darf nicht leer sein")
-	}
-
-	tx, err := s.pool.Begin(ctx)
-	if err != nil {
-		return Assignment{}, fmt.Errorf("transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	if _, err := tx.Exec(ctx, `
-		INSERT INTO role_assignments (user_id, role, granted_by, granted_at)
-		VALUES ($1, $2, $3, now())
-		ON CONFLICT (user_id) DO UPDATE SET role = $2, granted_by = $3, granted_at = now()
-	`, userID, string(role), grantedBy); err != nil {
-		return Assignment{}, fmt.Errorf("rolle zuweisen: %w", err)
-	}
-
-	if _, err := tx.Exec(ctx, `
-		INSERT INTO role_assignment_history (user_id, role, granted_by, granted_at)
-		VALUES ($1, $2, $3, now())
-	`, userID, string(role), grantedBy); err != nil {
-		return Assignment{}, fmt.Errorf("historie schreiben: %w", err)
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		return Assignment{}, fmt.Errorf("transaktion committen: %w", err)
-	}
-
-	return Assignment{UserID: userID, Role: role, GrantedBy: grantedBy}, nil
-}
-
-func (s *Store) Get(ctx context.Context, userID string) (Assignment, error) {
-	var a Assignment
-	var role string
-	a.UserID = userID
-	if err := s.pool.QueryRow(ctx, `
-		SELECT role, granted_by FROM role_assignments WHERE user_id = $1
-	`, userID).Scan(&role, &a.GrantedBy); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return Assignment{}, ErrNotFound
-		}
-		return Assignment{}, fmt.Errorf("rollenzuweisung lesen: %w", err)
-	}
-	a.Role = Role(role)
-	return a, nil
-}
-
-// History liefert jede Rollenzuweisung eines Benutzers in chronologischer
-// Reihenfolge — die Grundlage fuer "wer hat wann welche Rolle vergeben"
-// (Akzeptanzkriterium 3).
-func (s *Store) History(ctx context.Context, userID string) ([]Assignment, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT role, granted_by FROM role_assignment_history
-		WHERE user_id = $1 ORDER BY granted_at
-	`, userID)
-	if err != nil {
-		return nil, fmt.Errorf("historie abfragen: %w", err)
-	}
-	defer rows.Close()
-
-	var out []Assignment
-	for rows.Next() {
-		var role string
-		a := Assignment{UserID: userID}
-		if err := rows.Scan(&role, &a.GrantedBy); err != nil {
-			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
-		}
-		a.Role = Role(role)
-		out = append(out, a)
-	}
-	return out, rows.Err()
-}
@@ -1,144 +0,0 @@
-package rbac
-
-import (
-	"context"
-	"errors"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-func setupStoreTest(t *testing.T) (*Store, string, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS users (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			email TEXT NOT NULL UNIQUE,
-			name TEXT NOT NULL,
-			status TEXT NOT NULL DEFAULT 'active',
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS role_assignments (
-			user_id UUID PRIMARY KEY REFERENCES users(id),
-			role TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
-			granted_by TEXT NOT NULL,
-			granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS role_assignment_history (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			user_id UUID NOT NULL,
-			role TEXT NOT NULL,
-			granted_by TEXT NOT NULL,
-			granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	userStore := user.NewTenantUserStore(pool)
-	u, err := userStore.Create(ctx, "rbac_test@example.com", "RBAC Test")
-	if err != nil {
-		t.Fatalf("testuser anlegen: %v", err)
-	}
-
-	cleanup := func() {
-		_, _ = pool.Exec(ctx, `DELETE FROM role_assignment_history WHERE user_id = $1`, u.ID)
-		_, _ = pool.Exec(ctx, `DELETE FROM role_assignments WHERE user_id = $1`, u.ID)
-		_, _ = pool.Exec(ctx, `DELETE FROM users WHERE id = $1`, u.ID)
-		pool.Close()
-	}
-	return NewStore(pool), u.ID, cleanup
-}
-
-// Akzeptanzkriterium 1: Grundrollen sind einem Benutzer je Tenant zuweisbar.
-func TestStore_AssignAndGet(t *testing.T) {
-	store, userID, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	assigned, err := store.Assign(ctx, userID, RoleTenantAdmin, "admin@acme.example")
-	if err != nil {
-		t.Fatalf("assign: %v", err)
-	}
-	if assigned.Role != RoleTenantAdmin {
-		t.Fatalf("erwartet tenant_admin, habe %q", assigned.Role)
-	}
-
-	got, err := store.Get(ctx, userID)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Role != RoleTenantAdmin || got.GrantedBy != "admin@acme.example" {
-		t.Fatalf("zuweisung unerwartet: %+v", got)
-	}
-}
-
-// Akzeptanzkriterium 1 + Pruefung 1: Zuweisung ausserhalb der erlaubten
-// Matrix (superadmin im tenant-gescopten Store) wird abgewiesen.
-func TestStore_RejectsSuperadminOutsideAllowedMatrix(t *testing.T) {
-	store, userID, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	_, err := store.Assign(ctx, userID, RoleSuperadmin, "admin@acme.example")
-	if !errors.Is(err, ErrRoleNotAssignableInTenantScope) {
-		t.Fatalf("erwartet ErrRoleNotAssignableInTenantScope, habe %v", err)
-	}
-
-	// Sicherstellen, dass der abgewiesene Versuch keine Zeile hinterlassen hat.
-	if _, err := store.Get(ctx, userID); !errors.Is(err, ErrNotFound) {
-		t.Fatalf("erwartet ErrNotFound nach abgewiesener zuweisung, habe %v", err)
-	}
-}
-
-func TestStore_RejectsUnknownRole(t *testing.T) {
-	store, userID, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Assign(ctx, userID, Role("erfunden"), "admin@acme.example"); !errors.Is(err, ErrRoleNotAssignableInTenantScope) {
-		t.Fatalf("erwartet ErrRoleNotAssignableInTenantScope fuer unbekannte rolle, habe %v", err)
-	}
-}
-
-// Akzeptanzkriterium 3: Rollenzuweisung vollstaendig auditierbar.
-func TestStore_HistoryTracksWhoAndWhen(t *testing.T) {
-	store, userID, cleanup := setupStoreTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := store.Assign(ctx, userID, RoleUser, "system"); err != nil {
-		t.Fatalf("assign 1: %v", err)
-	}
-	if _, err := store.Assign(ctx, userID, RoleTenantAdmin, "admin@acme.example"); err != nil {
-		t.Fatalf("assign 2: %v", err)
-	}
-
-	history, err := store.History(ctx, userID)
-	if err != nil {
-		t.Fatalf("history: %v", err)
-	}
-	if len(history) != 2 {
-		t.Fatalf("erwartet 2 historieneintraege, habe %d", len(history))
-	}
-	if history[0].Role != RoleUser || history[0].GrantedBy != "system" {
-		t.Fatalf("history[0] unerwartet: %+v", history[0])
-	}
-	if history[1].Role != RoleTenantAdmin || history[1].GrantedBy != "admin@acme.example" {
-		t.Fatalf("history[1] unerwartet: %+v", history[1])
-	}
-}
@@ -1,66 +0,0 @@
-package user
-
-import (
-	"encoding/json"
-	"errors"
-	"net/http"
-)
-
-// Handler stellt die CRUD-API fuer Benutzerkonten bereit (IAM-01-Auftrag).
-// Auth/Sessions (IAM-02) und Rollen (RBAC-01) sind ausdruecklich nicht Teil
-// dieser Kachel und daher hier noch nicht angebunden.
-type Handler struct {
-	users       *TenantUserStore
-	superadmins *SuperadminStore
-}
-
-func NewHandler(users *TenantUserStore, superadmins *SuperadminStore) *Handler {
-	return &Handler{users: users, superadmins: superadmins}
-}
-
-type createUserRequest struct {
-	Email string `json:"email"`
-	Name  string `json:"name"`
-}
-
-func (h *Handler) CreateUser(w http.ResponseWriter, r *http.Request) {
-	var req createUserRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	u, err := h.users.Create(r.Context(), req.Email, req.Name)
-	writeUserResult(w, u, err)
-}
-
-// CreateSuperadmin legt ein mandantenuebergreifendes Superadmin-Konto an —
-// bewusst ein eigener Endpunkt statt eines Tenant-Parameters mit Null-Wert.
-func (h *Handler) CreateSuperadmin(w http.ResponseWriter, r *http.Request) {
-	var req createUserRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	u, err := h.superadmins.Create(r.Context(), req.Email, req.Name)
-	writeUserResult(w, u, err)
-}
-
-func writeUserResult(w http.ResponseWriter, u User, err error) {
-	if err != nil {
-		switch {
-		case errors.Is(err, ErrInvalidEmail), errors.Is(err, ErrEmailTaken):
-			http.Error(w, err.Error(), http.StatusBadRequest)
-		case errors.Is(err, ErrNotFound):
-			http.Error(w, err.Error(), http.StatusNotFound)
-		default:
-			http.Error(w, "benutzer konnte nicht verarbeitet werden", http.StatusInternalServerError)
-		}
-		return
-	}
-
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(http.StatusCreated)
-	_ = json.NewEncoder(w).Encode(u)
-}
@@ -1,173 +0,0 @@
-package user
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// setupTestDB legt eine frische, isolierte Testdatenbank an, wendet die
-// uebergebene Migration an und liefert einen verbundenen Pool. Wird ohne
-// TEST_ADMIN_DSN uebersprungen — siehe internal/tenant/provisioner_test.go
-// fuer dasselbe Muster.
-func setupTestDB(t *testing.T, dbName, schemaSQL string) *pgxpool.Pool {
-	t.Helper()
-
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-
-	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
-		t.Fatalf("testdatenbank anlegen: %v", err)
-	}
-
-	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("connect testdatenbank: %v", err)
-	}
-
-	if _, err := pool.Exec(ctx, schemaSQL); err != nil {
-		t.Fatalf("schema anwenden: %v", err)
-	}
-
-	t.Cleanup(func() {
-		pool.Close()
-		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-		adminPool.Close()
-	})
-
-	return pool
-}
-
-const usersSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE users (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-const superadminsSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE superadmins (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-// Akzeptanzkriterium 1 + 3, Pruefung 1 (inkl. Negativfall doppelte E-Mail).
-func TestTenantUserStore_CRUD(t *testing.T) {
-	pool := setupTestDB(t, "test_iam01_users", usersSchema)
-	store := NewTenantUserStore(pool)
-	ctx := context.Background()
-
-	created, err := store.Create(ctx, "alice@example.com", "Alice")
-	if err != nil {
-		t.Fatalf("create: %v", err)
-	}
-	if created.Status != StatusActive {
-		t.Fatalf("erwartet status active, hat %q", created.Status)
-	}
-
-	got, err := store.Get(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Email != "alice@example.com" {
-		t.Fatalf("get email = %q", got.Email)
-	}
-
-	updated, err := store.Update(ctx, created.ID, "", "Alice A.")
-	if err != nil {
-		t.Fatalf("update: %v", err)
-	}
-	if updated.Name != "Alice A." || updated.Email != "alice@example.com" {
-		t.Fatalf("update ergebnis unerwartet: %+v", updated)
-	}
-
-	list, err := store.List(ctx)
-	if err != nil {
-		t.Fatalf("list: %v", err)
-	}
-	if len(list) != 1 {
-		t.Fatalf("erwartet 1 benutzer, habe %d", len(list))
-	}
-
-	deactivated, err := store.Deactivate(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("deactivate: %v", err)
-	}
-	if deactivated.Status != StatusInactive {
-		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
-	}
-
-	// Negativfall: doppelte E-Mail-Adresse.
-	if _, err := store.Create(ctx, "second@example.com", "Bob"); err != nil {
-		t.Fatalf("create second: %v", err)
-	}
-	if _, err := store.Create(ctx, "second@example.com", "Bob Zwei"); !errors.Is(err, ErrEmailTaken) {
-		t.Fatalf("erwartet ErrEmailTaken, habe %v", err)
-	}
-
-	// Negativfall: fehlender Benutzer.
-	if _, err := store.Get(ctx, created.ID+"-nicht-vorhanden"); err == nil {
-		t.Fatalf("erwartet fehler bei unbekannter/ungueltiger id")
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Superadmin-Anlage ohne Tenant-Kontext.
-// SuperadminStore.Create hat keinen Tenant-Parameter — es gibt syntaktisch
-// keine Moeglichkeit, hier versehentlich einen Tenant-Sonderfall zu vergessen.
-func TestSuperadminStore_CreateWithoutTenantContext(t *testing.T) {
-	pool := setupTestDB(t, "test_iam01_superadmins", superadminsSchema)
-	store := NewSuperadminStore(pool)
-	ctx := context.Background()
-
-	created, err := store.Create(ctx, "root@nexarch.internal", "Root")
-	if err != nil {
-		t.Fatalf("create superadmin: %v", err)
-	}
-	if created.Status != StatusActive {
-		t.Fatalf("erwartet status active, hat %q", created.Status)
-	}
-
-	got, err := store.Get(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Email != "root@nexarch.internal" {
-		t.Fatalf("get email = %q", got.Email)
-	}
-
-	if _, err := store.Create(ctx, "root@nexarch.internal", "Root Zwei"); !errors.Is(err, ErrEmailTaken) {
-		t.Fatalf("erwartet ErrEmailTaken (globale eindeutigkeit), habe %v", err)
-	}
-
-	deactivated, err := store.Deactivate(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("deactivate: %v", err)
-	}
-	if deactivated.Status != StatusInactive {
-		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
-	}
-}
@@ -1,77 +0,0 @@
-package user
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// SuperadminStore verwaltet mandantenuebergreifende Superadmin-Konten in der
-// Control-Plane-Registry (siehe internal/tenant.Registry). Superadmin-ohne-
-// Tenant ist dadurch ein eigener Typ statt eines Sonderfalls von User/
-// TenantUserStore — es gibt keinen Tenant-Parameter, den man weglassen
-// koennte (IAM-01, "ohne Sonderbehandlung im Code").
-type SuperadminStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewSuperadminStore(pool *pgxpool.Pool) *SuperadminStore {
-	return &SuperadminStore{pool: pool}
-}
-
-func (s *SuperadminStore) Create(ctx context.Context, email, name string) (User, error) {
-	if err := ValidateEmail(email); err != nil {
-		return User{}, err
-	}
-
-	var u User
-	u.Email, u.Name, u.Status = email, name, StatusActive
-
-	row := s.pool.QueryRow(ctx, `
-		INSERT INTO superadmins (email, name, status)
-		VALUES ($1, $2, $3)
-		RETURNING id, created_at, updated_at
-	`, u.Email, u.Name, u.Status)
-
-	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-func (s *SuperadminStore) Get(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM superadmins WHERE id = $1
-	`, id))
-}
-
-func (s *SuperadminStore) List(ctx context.Context) ([]User, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM superadmins ORDER BY created_at
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("superadmins auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []User
-	for rows.Next() {
-		var u User
-		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-			return nil, fmt.Errorf("superadmin lesen: %w", err)
-		}
-		out = append(out, u)
-	}
-	return out, rows.Err()
-}
-
-func (s *SuperadminStore) Deactivate(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		UPDATE superadmins SET status = $2, updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, StatusInactive))
-}
@@ -1,173 +0,0 @@
-package user
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgconn"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// TenantUserStore verwaltet Benutzer innerhalb GENAU EINER Tenant-Datenbank.
-// Welcher Mandant gemeint ist, ergibt sich ausschliesslich aus dem
-// uebergebenen Pool — es gibt keine tenant_id-Spalte (siehe migrations/tenant/0001_users.up.sql).
-type TenantUserStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewTenantUserStore(pool *pgxpool.Pool) *TenantUserStore {
-	return &TenantUserStore{pool: pool}
-}
-
-func (s *TenantUserStore) Create(ctx context.Context, email, name string) (User, error) {
-	if err := ValidateEmail(email); err != nil {
-		return User{}, err
-	}
-
-	var u User
-	u.Email, u.Name, u.Status = email, name, StatusActive
-
-	row := s.pool.QueryRow(ctx, `
-		INSERT INTO users (email, name, status)
-		VALUES ($1, $2, $3)
-		RETURNING id, created_at, updated_at
-	`, u.Email, u.Name, u.Status)
-
-	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-func (s *TenantUserStore) Get(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM users WHERE id = $1
-	`, id))
-}
-
-func (s *TenantUserStore) List(ctx context.Context) ([]User, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM users ORDER BY created_at
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("benutzer auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []User
-	for rows.Next() {
-		var u User
-		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-			return nil, fmt.Errorf("benutzer lesen: %w", err)
-		}
-		out = append(out, u)
-	}
-	return out, rows.Err()
-}
-
-// Update aendert Name und E-Mail. Eine leere email/name laesst das jeweilige
-// Feld unveraendert.
-func (s *TenantUserStore) Update(ctx context.Context, id, email, name string) (User, error) {
-	if email != "" {
-		if err := ValidateEmail(email); err != nil {
-			return User{}, err
-		}
-	}
-
-	row := s.pool.QueryRow(ctx, `
-		UPDATE users
-		SET email = COALESCE(NULLIF($2, ''), email),
-		    name = COALESCE(NULLIF($3, ''), name),
-		    updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, email, name)
-
-	u, err := scanUser(row)
-	if err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-// Deactivate setzt den Benutzer auf inaktiv statt ihn zu loeschen.
-func (s *TenantUserStore) Deactivate(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		UPDATE users SET status = $2, updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, StatusInactive))
-}
-
-// SetPasswordHash schreibt einen bereits berechneten bcrypt-Hash (siehe
-// internal/auth, IAM-02). Der Store selbst kennt kein Klartext-Passwort.
-func (s *TenantUserStore) SetPasswordHash(ctx context.Context, id, hash string) error {
-	tag, err := s.pool.Exec(ctx, `
-		UPDATE users SET password_hash = $2, updated_at = now() WHERE id = $1
-	`, id, hash)
-	if err != nil {
-		return fmt.Errorf("passwort setzen: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return ErrNotFound
-	}
-	return nil
-}
-
-// AuthCredentials wird ausschliesslich fuer den Login-Pfad (internal/auth)
-// verwendet und traegt bewusst den password_hash, damit er nicht ueber den
-// regulaeren User-Typ/JSON-Serialisierungspfad nach aussen dringen kann.
-type AuthCredentials struct {
-	User         User
-	PasswordHash string
-}
-
-// GetByEmailForAuth liefert Benutzer + Passwort-Hash zu einer E-Mail-Adresse
-// aus GENAU DIESER Tenant-Datenbank — der Tenant-Scope ergibt sich damit
-// zwingend aus dem verwendeten Pool, es gibt keine Moeglichkeit, versehentlich
-// ueber Tenant-Grenzen hinweg zu suchen (bekannter archivmail-Fehler, siehe
-// IAM-02 "Bekannte Fehler vermeiden").
-func (s *TenantUserStore) GetByEmailForAuth(ctx context.Context, email string) (AuthCredentials, error) {
-	var c AuthCredentials
-	row := s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at, password_hash
-		FROM users WHERE email = $1
-	`, email)
-
-	if err := row.Scan(&c.User.ID, &c.User.Email, &c.User.Name, &c.User.Status,
-		&c.User.CreatedAt, &c.User.UpdatedAt, &c.PasswordHash); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return AuthCredentials{}, ErrNotFound
-		}
-		return AuthCredentials{}, fmt.Errorf("anmeldedaten lesen: %w", err)
-	}
-	return c, nil
-}
-
-func scanUser(row pgx.Row) (User, error) {
-	var u User
-	if err := row.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return User{}, ErrNotFound
-		}
-		return User{}, fmt.Errorf("benutzer lesen: %w", err)
-	}
-	return u, nil
-}
-
-// mapWriteErr uebersetzt den Unique-Constraint-Verstoss der E-Mail-Spalte in
-// einen sprechenden Fehler statt der rohen Postgres-Fehlermeldung.
-func mapWriteErr(err error) error {
-	var pgErr *pgconn.PgError
-	if errors.As(err, &pgErr) && pgErr.Code == "23505" {
-		return ErrEmailTaken
-	}
-	if errors.Is(err, pgx.ErrNoRows) {
-		return ErrNotFound
-	}
-	return fmt.Errorf("benutzer schreiben: %w", err)
-}
@@ -1,42 +0,0 @@
-// Package user implementiert Core IAM-01: das Benutzer-Datenmodell und die
-// CRUD-Operationen. Tenant-Zugehoerigkeit ist ueber die Zieldatenbank
-// gegeben (Modell C, siehe internal/tenant) — Superadmin-Konten leben
-// dagegen mandantenuebergreifend in der Registry und sind ueber
-// SuperadminStore als eigener, First-Class-Typ modelliert, nicht als
-// tenant_id-NULL-Sonderfall in User.
-package user
-
-import (
-	"errors"
-	"regexp"
-	"time"
-)
-
-type Status string
-
-const (
-	StatusActive   Status = "active"
-	StatusInactive Status = "inactive"
-)
-
-type User struct {
-	ID        string
-	Email     string
-	Name      string
-	Status    Status
-	CreatedAt time.Time
-	UpdatedAt time.Time
-}
-
-var emailPattern = regexp.MustCompile(`^[^\s@]+@[^\s@]+\.[^\s@]+$`)
-
-var ErrInvalidEmail = errors.New("user: ungueltige E-Mail-Adresse")
-var ErrEmailTaken = errors.New("user: E-Mail-Adresse bereits vergeben")
-var ErrNotFound = errors.New("user: nicht gefunden")
-
-func ValidateEmail(email string) error {
-	if !emailPattern.MatchString(email) {
-		return ErrInvalidEmail
-	}
-	return nil
-}
@@ -1,24 +0,0 @@
-package user
-
-import "testing"
-
-func TestValidateEmail(t *testing.T) {
-	cases := []struct {
-		email   string
-		wantErr bool
-	}{
-		{"a@b.de", false},
-		{"a.b+c@sub.example.com", false},
-		{"", true},
-		{"keine-email", true},
-		{"a@b", true},
-		{"@b.de", true},
-	}
-
-	for _, c := range cases {
-		err := ValidateEmail(c.email)
-		if (err != nil) != c.wantErr {
-			t.Errorf("ValidateEmail(%q) error = %v, wantErr %v", c.email, err, c.wantErr)
-		}
-	}
-}
@@ -1 +0,0 @@
-DROP TABLE IF EXISTS superadmins;
@@ -1,14 +0,0 @@
-- Superadmin-Konten arbeiten mandantenuebergreifend und leben deshalb in der
-- Control-Plane-Registry (siehe TEN-01), nicht in einer Tenant-Datenbank.
-- Das bildet "Superadmin ohne Tenant" strukturell als First-Class-Zustand ab,
-- statt ihn als Sonderfall in der Tenant-users-Tabelle zu behandeln
-- (IAM-01, siehe core-kanban/tickets/IAM-01.md — bekannte Fehler vermeiden).
-- E-Mail-Eindeutigkeit ist hier global, da die Registry-DB einmalig existiert.
-CREATE TABLE superadmins (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    email        TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);
@@ -1,2 +0,0 @@
-DROP TABLE IF EXISTS policy_rule_changes;
-DROP TABLE IF EXISTS policy_rules;
@@ -1,24 +0,0 @@
-- Zentrale, deklarative Policy-Regeln (RBAC-02, siehe core-kanban/tickets/RBAC-02.md).
-- policy_rules haelt den AKTUELLEN, gewaehrten Regelsatz (Existenz = erlaubt,
-- Default-Deny fuer alles ohne Zeile). policy_rule_changes ist die
-- versionierte Aenderungshistorie (Akzeptanzkriterium 3: Regelwechsel ohne
-- Codeaenderung nachvollziehbar).
-CREATE TABLE policy_rules (
-    role       TEXT NOT NULL,
-    permission TEXT NOT NULL,
-    granted_by TEXT NOT NULL,
-    granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-    PRIMARY KEY (role, permission)
-);
-
-CREATE TABLE policy_rule_changes (
-    id         UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    role       TEXT NOT NULL,
-    permission TEXT NOT NULL,
-    action     TEXT NOT NULL CHECK (action IN ('grant', 'revoke')),
-    actor      TEXT NOT NULL,
-    version    INT NOT NULL,
-    changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX policy_rule_changes_idx ON policy_rule_changes (role, permission, version);
@@ -1,2 +0,0 @@
-DROP TABLE IF EXISTS config_value_history;
-DROP TABLE IF EXISTS config_values;
@@ -1,23 +0,0 @@
-- Zentraler Konfigurationsdienst (CFG-01, siehe core-kanban/tickets/CFG-01.md).
-- scope = 'global' fuer globale Defaults, sonst der Tenant-Slug. config_values
-- haelt den AKTUELLEN Stand je (key, scope); config_value_history haelt JEDE
-- Aenderung fest (Akzeptanzkriterium 2: versioniert nachvollziehbar).
-CREATE TABLE config_values (
-    key        TEXT NOT NULL,
-    scope      TEXT NOT NULL CHECK (scope <> ''),
-    value      TEXT NOT NULL,
-    version    INT NOT NULL,
-    updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-    PRIMARY KEY (key, scope)
-);
-
-CREATE TABLE config_value_history (
-    id         UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    key        TEXT NOT NULL,
-    scope      TEXT NOT NULL,
-    value      TEXT NOT NULL,
-    version    INT NOT NULL,
-    changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX config_value_history_key_scope_idx ON config_value_history (key, scope, version);
@@ -0,0 +1 @@
+DROP TABLE IF EXISTS feature_flags;
@@ -0,0 +1,10 @@
+-- Feature-Flags zentral je Mandant/Zielgruppe (LIC-02, siehe core-kanban/tickets/LIC-02.md).
+-- Lebt in der Registry-DB, nicht pro Tenant-Datenbank — Flags sind eine
+-- Core-weite Konfiguration, keine Mandanten-Geschaeftsdaten.
+CREATE TABLE feature_flags (
+    key                 TEXT PRIMARY KEY,
+    enabled             BOOLEAN NOT NULL DEFAULT false,
+    rollout_percentage  INT NOT NULL DEFAULT 0 CHECK (rollout_percentage BETWEEN 0 AND 100),
+    target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
+    updated_at          TIMESTAMPTZ NOT NULL DEFAULT now()
+);
@@ -0,0 +1,2 @@
+DROP TABLE IF EXISTS module_credentials;
+DROP TABLE IF EXISTS modules;
@@ -0,0 +1,18 @@
+-- Modul-Registry & Aktivierungspruefung (API-02, siehe core-kanban/tickets/API-02.md).
+CREATE TABLE modules (
+    name           TEXT PRIMARY KEY,
+    version        TEXT NOT NULL CHECK (version <> ''),
+    required_flags TEXT[] NOT NULL DEFAULT '{}',
+    registered_at  TIMESTAMPTZ NOT NULL DEFAULT now()
+);
+
+-- Service-Credential je Modul-Instanz, bei Provisionierung ausgestellt
+-- (Akzeptanzkriterium 4). secret_hash enthaelt NIEMALS das Secret im
+-- Klartext, nur dessen SHA-256-Hash (Timing-safe-Vergleich beim Login,
+-- Referenzmuster siehe AUD-02).
+CREATE TABLE module_credentials (
+    module_name TEXT PRIMARY KEY REFERENCES modules(name),
+    client_id   TEXT NOT NULL UNIQUE,
+    secret_hash BYTEA NOT NULL,
+    issued_at   TIMESTAMPTZ NOT NULL DEFAULT now()
+);
@@ -1 +0,0 @@
-DROP TABLE IF EXISTS notification_jobs;
@@ -1,20 +0,0 @@
-- Benachrichtigungs-Dispatcher-Warteschlange (CFG-02, siehe
-- core-kanban/tickets/CFG-02.md). Postgres-basiert statt Redis/AMQP
-- (Projekt-Konvention, siehe nexarch-state.json techstack.job_queue) —
-- Zeilen ueberleben einen Neustart des Dispatcher-Prozesses unveraendert
-- (Akzeptanzkriterium 3).
-CREATE TABLE notification_jobs (
-    id              UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    channel         TEXT NOT NULL,
-    recipient       TEXT NOT NULL,
-    payload         JSONB NOT NULL DEFAULT '{}'::jsonb,
-    status          TEXT NOT NULL DEFAULT 'pending' CHECK (status IN ('pending', 'sent', 'failed')),
-    attempts        INT NOT NULL DEFAULT 0,
-    max_attempts    INT NOT NULL DEFAULT 5,
-    next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-    last_error      TEXT,
-    created_at      TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at      TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX notification_jobs_due_idx ON notification_jobs (status, next_attempt_at);
@@ -1,2 +0,0 @@
-DROP TABLE IF EXISTS in_app_notifications;
-DROP TABLE IF EXISTS notification_templates;
@@ -1,28 +0,0 @@
-- Benachrichtigungs-Kanaele: Vorlagen (E-Mail) + In-App-Nachrichten
-- (CFG-03, siehe core-kanban/tickets/CFG-03.md). Beide leben in der
-- Registry-DB, analog zu feature_flags/config_values — modulübergreifende
-- Konfiguration/UI-Zustand, keine Mandanten-Geschaeftsdaten.
-
-- tenant_slug = 'global' ist der Fallback-Wert, wenn ein Tenant keine
-- eigene Vorlage gesetzt hat (Akzeptanzkriterium 3: Vorlagen pro Tenant
-- anpassbar, mit sinnvollem Default).
-CREATE TABLE notification_templates (
-    tenant_slug TEXT NOT NULL,
-    key         TEXT NOT NULL,
-    subject     TEXT NOT NULL,
-    body        TEXT NOT NULL,
-    updated_at  TIMESTAMPTZ NOT NULL DEFAULT now(),
-    PRIMARY KEY (tenant_slug, key)
-);
-
-CREATE TABLE in_app_notifications (
-    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    tenant_slug TEXT NOT NULL,
-    user_id     TEXT NOT NULL,
-    title       TEXT NOT NULL,
-    body        TEXT NOT NULL,
-    read_at     TIMESTAMPTZ,
-    created_at  TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX in_app_notifications_user_idx ON in_app_notifications (tenant_slug, user_id, created_at);
@@ -0,0 +1 @@
+DROP TABLE tenant_keks;
@@ -0,0 +1,10 @@
+-- Master-Key-Verwaltung & Tenant-Schluesselhierarchie (API-10, siehe
+-- core-kanban/tickets/API-10.md) — EIN verpackter (mit dem Master-Key
+-- umhuellter) Tenant-KEK je Mandant. Niemals der Master-Key selbst und
+-- niemals ein Tenant-KEK im Klartext in dieser Tabelle.
+CREATE TABLE tenant_keks (
+    tenant_id    UUID PRIMARY KEY REFERENCES tenants(id),
+    wrapped_kek  BYTEA NOT NULL,
+    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
+    rotated_at   TIMESTAMPTZ
+);
@@ -1 +0,0 @@
-DROP TABLE notification_preferences;
@@ -1,17 +0,0 @@
-- CFG-04: Benachrichtigungspraeferenzen je Benutzer, Ereignistyp und Kanal.
-- Lebt wie notification_templates/in_app_notifications (CFG-03) in der
-- Registry-DB — modulübergreifende Konfiguration, keine Mandanten-Geschaeftsdaten.
--
-- Kein Row = aktiviert (Opt-out-Modell): ein Benutzer verpasst nichts, bis er
-- aktiv einen Kanal/Ereignistyp abschaltet — sicherer Default als Opt-in.
-CREATE TABLE notification_preferences (
-    tenant_slug TEXT NOT NULL,
-    user_id     TEXT NOT NULL,
-    event_type  TEXT NOT NULL,
-    channel     TEXT NOT NULL,
-    enabled     BOOLEAN NOT NULL,
-    updated_at  TIMESTAMPTZ NOT NULL DEFAULT now(),
-    PRIMARY KEY (tenant_slug, user_id, event_type, channel)
-);
-
-CREATE INDEX notification_preferences_tenant_idx ON notification_preferences (tenant_slug);
@@ -1 +0,0 @@
-DROP TABLE IF EXISTS users;
@@ -1,16 +0,0 @@
-- Benutzer-Datenmodell (IAM-01, siehe core-kanban/tickets/IAM-01.md).
-- Diese Migration laeuft in der DB EINES Mandanten (Modell C, siehe TEN-01) —
-- die Tenant-Zugehoerigkeit ist implizit durch die Datenbankverbindung
-- gegeben, es gibt daher bewusst KEINE tenant_id-Spalte.
-- E-Mail-Eindeutigkeit ist hier tenant-scoped: der UNIQUE-Constraint gilt
-- nur innerhalb dieser einen Tenant-Datenbank.
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-
-CREATE TABLE users (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    email        TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);
@@ -1,2 +0,0 @@
-DROP TABLE IF EXISTS role_assignment_history;
-DROP TABLE IF EXISTS role_assignments;
@@ -1,23 +0,0 @@
-- Rollenzuweisung pro Benutzer (RBAC-01, siehe core-kanban/tickets/RBAC-01.md).
-- Nur 'user' und 'tenant_admin' sind hier zuweisbar — 'superadmin' lebt
-- mandantenuebergreifend in der Registry (IAM-01 SuperadminStore) und hat
-- daher bewusst KEINE Zeile in dieser tenant-lokalen Tabelle (Akzeptanz-
-- kriterium 1: nur Zuweisungen innerhalb der erlaubten Matrix).
-CREATE TABLE role_assignments (
-    user_id     UUID PRIMARY KEY REFERENCES users(id),
-    role        TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
-    granted_by  TEXT NOT NULL,
-    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-- Vollstaendige Historie jeder Rollenaenderung (Akzeptanzkriterium 3: wer
-- hat wann welche Rolle vergeben).
-CREATE TABLE role_assignment_history (
-    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    user_id     UUID NOT NULL,
-    role        TEXT NOT NULL,
-    granted_by  TEXT NOT NULL,
-    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX role_assignment_history_user_idx ON role_assignment_history (user_id, granted_at);
@@ -1 +0,0 @@
-ALTER TABLE users DROP COLUMN password_hash;
@@ -1,3 +0,0 @@
-- Passwort-Hash-Spalte fuer Login (IAM-02, siehe core-kanban/tickets/IAM-02.md).
-- Enthaelt AUSSCHLIESSLICH den bcrypt-Hash, niemals das Klartext-Passwort.
-ALTER TABLE users ADD COLUMN password_hash TEXT NOT NULL DEFAULT '';
@@ -1,30 +0,0 @@
-import { ThemeProvider, I18nProvider, ToastProvider, typography } from "@nexarch/shl";
-
-export const metadata = {
-  title: "NEXARCH Benachrichtigungen",
-};
-
-export default function RootLayout({
-  children,
-}: {
-  children: React.ReactNode;
-}) {
-  return (
-    <html lang="de">
-      <body
-        style={{
-          fontFamily: typography.fontFamily,
-          margin: 0,
-          background: "var(--shl-color-background, #ffffff)",
-          color: "var(--shl-color-text-primary, #14181f)",
-        }}
-      >
-        <ThemeProvider>
-          <I18nProvider initialLocale="de">
-            <ToastProvider>{children}</ToastProvider>
-          </I18nProvider>
-        </ThemeProvider>
-      </body>
-    </html>
-  );
-}
@@ -1,43 +0,0 @@
-"use client";
-
-import { useEffect, useState } from "react";
-import { Table } from "@nexarch/shl";
-import type { TableColumn } from "@nexarch/shl";
-import { Preference, fetchTenantOverview } from "../../lib/api";
-
-// Akzeptanzkriterium 3: Tenant-Admin sieht eine Übersicht der
-// Benachrichtigungs-Konfiguration seines Tenants. Zugriffsbeschränkung
-// (nur Tenant-Admin) ist RBAC-02s Aufgabe vor diesem Endpunkt, siehe
-// internal/notifyprefs/handler.go.
-export default function OverviewPage() {
-  const [prefs, setPrefs] = useState<Preference[] | null>(null);
-  const [error, setError] = useState<string | null>(null);
-
-  useEffect(() => {
-    fetchTenantOverview()
-      .then(setPrefs)
-      .catch(() => setError("Übersicht konnte nicht geladen werden. Nur Tenant-Admins haben Zugriff."));
-  }, []);
-
-  const columns: TableColumn<Preference>[] = [
-    { key: "user", header: "Benutzer-ID", render: (p) => p.UserID },
-    { key: "event", header: "Ereignistyp", render: (p) => p.EventType },
-    { key: "channel", header: "Kanal", render: (p) => p.Channel },
-    { key: "enabled", header: "Aktiviert", render: (p) => (p.Enabled ? "Ja" : "Nein") },
-  ];
-
-  return (
-    <main style={{ maxWidth: 800, margin: "40px auto", padding: "0 16px" }}>
-      <h1>Benachrichtigungs-Übersicht (Mandant)</h1>
-      {error && <p role="alert">{error}</p>}
-      {prefs && (
-        <Table
-          columns={columns}
-          rows={prefs}
-          rowKey={(p) => `${p.UserID}-${p.EventType}-${p.Channel}`}
-          caption="Von der Standardeinstellung abweichende Benachrichtigungspräferenzen aller Benutzer"
-        />
-      )}
-    </main>
-  );
-}
@@ -1,5 +0,0 @@
-import { redirect } from "next/navigation";
-
-export default function IndexPage() {
-  redirect("/settings");
-}
@@ -1,97 +0,0 @@
-"use client";
-
-import { useEffect, useState } from "react";
-import { CheckboxField, useToast } from "@nexarch/shl";
-import {
-  ApiError,
-  KNOWN_CHANNELS,
-  KNOWN_EVENT_TYPES,
-  Preference,
-  fetchMyPreferences,
-  setPreference,
-} from "../../lib/api";
-
-const EVENT_LABELS: Record<string, string> = {
-  welcome: "Willkommen",
-  invoice_ready: "Rechnung verfügbar",
-  password_reset: "Passwort-Zurücksetzung",
-  security_alert: "Sicherheitshinweis",
-};
-
-const CHANNEL_LABELS: Record<string, string> = {
-  email: "E-Mail",
-  in_app: "In-App",
-};
-
-export default function SettingsPage() {
-  const { push } = useToast();
-  const [prefs, setPrefs] = useState<Preference[] | null>(null);
-  const [loadError, setLoadError] = useState<string | null>(null);
-  const [pending, setPending] = useState<string | null>(null);
-
-  useEffect(() => {
-    fetchMyPreferences()
-      .then(setPrefs)
-      .catch(() => setLoadError("Einstellungen konnten nicht geladen werden. Bitte melden Sie sich an."));
-  }, []);
-
-  // Default: aktiviert, solange keine explizite Praeferenz existiert
-  // (Akzeptanzkriterium 1) — gleicher Opt-out-Default wie im Backend.
-  function isEnabled(eventType: string, channel: string): boolean {
-    const explicit = prefs?.find((p) => p.EventType === eventType && p.Channel === channel);
-    return explicit ? explicit.Enabled : true;
-  }
-
-  async function onToggle(eventType: string, channel: string, nextEnabled: boolean) {
-    const key = `${eventType}:${channel}`;
-    setPending(key);
-    try {
-      // Akzeptanzkriterium 2: sofort speichern, kein Sammel-Speichern-Button —
-      // wirkt unmittelbar auf künftige Zustellungen (EnqueueIfAllowed prüft
-      // bei jedem Aufruf live, kein Cache dazwischen).
-      await setPreference(eventType, channel, nextEnabled);
-      setPrefs((current) => {
-        const withoutThis = (current ?? []).filter((p) => !(p.EventType === eventType && p.Channel === channel));
-        return [...withoutThis, { TenantSlug: "", UserID: "", EventType: eventType, Channel: channel, Enabled: nextEnabled }];
-      });
-      push(nextEnabled ? "Benachrichtigung aktiviert." : "Benachrichtigung deaktiviert.", "success");
-    } catch (err) {
-      push(err instanceof ApiError ? err.message : "Einstellung konnte nicht gespeichert werden.", "danger");
-    } finally {
-      setPending(null);
-    }
-  }
-
-  if (loadError) {
-    return (
-      <main style={{ maxWidth: 640, margin: "40px auto", padding: "0 16px" }}>
-        <p role="alert">{loadError}</p>
-      </main>
-    );
-  }
-
-  return (
-    <main style={{ maxWidth: 640, margin: "40px auto", padding: "0 16px" }}>
-      <h1>Benachrichtigungseinstellungen</h1>
-      <p>Wählen Sie je Ereignis, über welche Kanäle Sie benachrichtigt werden möchten.</p>
-
-      {KNOWN_EVENT_TYPES.map((eventType) => (
-        <fieldset key={eventType} style={{ marginBottom: 16 }}>
-          <legend>{EVENT_LABELS[eventType] ?? eventType}</legend>
-          {KNOWN_CHANNELS.map((channel) => {
-            const key = `${eventType}:${channel}`;
-            return (
-              <CheckboxField
-                key={key}
-                label={CHANNEL_LABELS[channel] ?? channel}
-                checked={isEnabled(eventType, channel)}
-                disabled={pending === key}
-                onChange={(e) => onToggle(eventType, channel, e.target.checked)}
-              />
-            );
-          })}
-        </fieldset>
-      ))}
-    </main>
-  );
-}
@@ -1,45 +0,0 @@
-const API_BASE = process.env.NEXT_PUBLIC_CORE_API_BASE ?? "";
-
-export class ApiError extends Error {}
-
-async function req<T>(path: string, init?: RequestInit): Promise<T> {
-  const res = await fetch(`${API_BASE}${path}`, {
-    credentials: "include",
-    headers: init?.body ? { "Content-Type": "application/json" } : undefined,
-    ...init,
-  });
-  const data = await res.json().catch(() => ({}));
-  if (!res.ok) {
-    throw new ApiError(data.error ?? data.message ?? "Unbekannter Fehler");
-  }
-  return data as T;
-}
-
-export interface Preference {
-  TenantSlug: string;
-  UserID: string;
-  EventType: string;
-  Channel: string;
-  Enabled: boolean;
-}
-
-// Bekannte Ereignistypen/Kanäle — das Backend erzwingt keine feste Liste
-// (jedes Modul kann eigene event_type-Werte an EnqueueIfAllowed übergeben),
-// diese Liste ist der aktuell bekannte Stand fürs Frontend-Formular.
-export const KNOWN_EVENT_TYPES = ["welcome", "invoice_ready", "password_reset", "security_alert"] as const;
-export const KNOWN_CHANNELS = ["email", "in_app"] as const;
-
-export function fetchMyPreferences(): Promise<Preference[]> {
-  return req("/notifications/preferences");
-}
-
-export function setPreference(eventType: string, channel: string, enabled: boolean): Promise<void> {
-  return req("/notifications/preferences", {
-    method: "POST",
-    body: JSON.stringify({ event_type: eventType, channel, enabled }),
-  });
-}
-
-export function fetchTenantOverview(): Promise<Preference[]> {
-  return req("/notifications/preferences/tenant");
-}
@@ -1,5 +0,0 @@
-/** @type {import('next').NextConfig} */
-const nextConfig = {
-  transpilePackages: ["@nexarch/shl"],
-};
-export default nextConfig;
@@ -1,22 +0,0 @@
-{
-  "name": "nexarch-notifications",
-  "private": true,
-  "scripts": {
-    "dev": "next dev",
-    "build": "next build",
-    "start": "next start",
-    "lint": "next lint"
-  },
-  "dependencies": {
-    "@nexarch/shl": "file:../shl",
-    "next": "14.2.35",
-    "react": "18.3.1",
-    "react-dom": "18.3.1"
-  },
-  "devDependencies": {
-    "@types/node": "20.14.9",
-    "@types/react": "18.3.3",
-    "@types/react-dom": "18.3.0",
-    "typescript": "5.5.3"
-  }
-}
@@ -1,21 +0,0 @@
-{
-  "compilerOptions": {
-    "target": "ES2017",
-    "lib": ["dom", "dom.iterable", "esnext"],
-    "allowJs": false,
-    "skipLibCheck": true,
-    "strict": true,
-    "noEmit": true,
-    "esModuleInterop": true,
-    "module": "esnext",
-    "moduleResolution": "bundler",
-    "resolveJsonModule": true,
-    "isolatedModules": true,
-    "jsx": "preserve",
-    "incremental": true,
-    "plugins": [{ "name": "next" }],
-    "paths": { "@/*": ["./*"] }
-  },
-  "include": ["next-env.d.ts", "**/*.ts", "**/*.tsx", ".next/types/**/*.ts"],
-  "exclude": ["node_modules"]
-}
--- a/Show More
+++ b/Show More
Author	SHA1	Message	Date
sysops	46fccd9c09	API-10: test-fix — rotatemasterkey-assertion nur fuer eigene test-tenants pruefen (geteilte test-db)	2026-08-28 10:04:51 +02:00
sysops	a631ac8770	API-10: internal/apiserver-port wieder entfernen (ungenutzt, zieht internal/auth als fehlende abhaengigkeit nach)	2026-08-28 10:03:41 +02:00
sysops	bc2126f3b1	API-10: master-key-verwaltung-tenant-schluesselhierarchie-kms-anbindung (envelope encryption, isolierte tenant-keks, rotation)	2026-08-28 10:03:27 +02:00
sysopsandClaude Sonnet 5	b23cd1961f	API-02: modul-registry-aktivierungspruefung internal/moduleregistry: Registry.Register traegt Fachmodule mit Name, Version und benoetigten Feature-Flags ein (Akzeptanzkriterium 1), fehlende Pflichtangaben werden abgewiesen. IsActive kombiniert Registrierung + LIC-02 Feature-Flag-Auswertung (ALLE benoetigten Flags muessen fuer den Tenant aktiv sein) — ein nicht registriertes Modul ist nie aktiv. List liefert alle Module fuer Statusseite/Lizenzoberflaeche (Akzeptanzkriterium 3). RequireActiveModule ist die zentrale Durchsetzungs-Middleware (Casbin- Prinzip): weist Anfragen an ein deaktiviertes Modul ab, BEVOR der Modul-Handler ueberhaupt aufgerufen wird (Akzeptanzkriterium 2) — Pruefung per Test belegt, dass der Handler bei Deaktivierung nachweislich nicht erreicht wird. Service-Credentials (Akzeptanzkriterium 4): Registry.Provision stellt pro Modul-Instanz Client-ID + Secret aus, gespeichert wird nur der SHA-256-Hash des Secrets. Registry.Authenticate vergleicht timing-safe (dieselbe subtle.ConstantTimeCompare-Referenzimplementierung wie AUD-02). RequireServiceCredential-Middleware liest X-Client-Id/X-Client-Secret und weist Aufrufe ohne gueltiges Credential mit 401 ab, bevor der Core-seitige Endpunkt (z.B. Audit-Nachlieferung, Nutzungsmeldung) erreicht wird. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Anfrage an deaktiviertes Modul nachweislich vor Modul-Logik abgewiesen — TestRequireActiveModule_BlocksBeforeHandler: handlerReached bleibt false bei 403, wird true erst nach Aktivierung bei 200. PASS. 2. Registrierung mit fehlenden Pflichtangaben abgewiesen — TestRegister_RejectsMissingFields (leerer Name, leere Version). PASS. 3. Registry-Abfrage liefert konsistente Daten nach Aktivierung/Deaktivierung — TestIsActive_ReflectsFlagStateConsistently: aus/an/aus-Zyklus, IsActive folgt dem Flag-Zustand korrekt. PASS. 4. Aufruf mit ungueltigem/fehlendem Service-Credential abgewiesen, mit gueltigem angenommen — TestRequireServiceCredential_RejectsInvalidAcceptsValid und TestProvisionAndAuthenticate (falsches Secret, unbekannte Client-ID, korrektes Credential). PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-27 21:17:50 +02:00
sysopsandClaude Sonnet 5	4a30345e07	LIC-02: feature-flag-service-je-tenant internal/flag: Store (Verwaltung) + Service (Auswertung mit TTL-Cache, Default 5s) — Unleash-Prinzip Flag-Verwaltung vs. Flag-Auswertung getrennt, als Kernfunktion des Core-Dienstes selbst statt separater Infrastruktur. evaluate() wendet drei Strategien in fester Reihenfolge an: global an/aus, Tenant-Zielgruppe, deterministischer Prozentsatz-Rollout (FNV-Hash aus Tenant+Key, stabil pro Tenant). IsEnabled liefert IMMER nur bool (kein Fehlerwert) — ein nicht erreichbarer Flag-Dienst kann damit keinen Aufrufer zum Absturz bringen: bei DB-Fehler wird der zuletzt bekannte Cache-Stand verwendet, ohne jeglichen Stand faellt der Dienst sicher auf false zurueck. Service.Invalidate erzwingt sofortiges Neuladen fuer den Schreiber selbst, andere Instanzen sehen Aenderungen spaetestens nach der TTL (Akzeptanzkriterium 3, kein Neustart noetig). Bugfix waehrend Tests: Store.Set uebergab ein nil-TargetTenantSlugs-Slice als SQL NULL statt leerem Array (NOT-NULL-Verletzung) — auf leeres Slice normalisiert. Akzeptanzkriterium 4 (Deaktivierung loescht keine Daten): dieses Paket besitzt ausschliesslich die eigene feature_flags-Zeile, hat keinerlei Code-Pfad, der Modul-Geschaeftsdaten anfassen koennte — Loeschung bleibt strukturell der Archive-Retention-Engine vorbehalten. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Cache-Invalidierungszeit automatisiert gemessen — TestService_CacheInvalidationTiming: Aenderung wirksam nach 153ms bei TTL=150ms (innerhalb Ziel+Toleranz), vorher nachweislich noch alter Stand. PASS. 2. Zielgruppen-Strategie liefert erwartete Auswertung — TestService_TargetTenantStrategy / TestEvaluate_TargetTenantStrategy. PASS. 3. Ausfall des Flag-Dienstes fuehrt zu dokumentiertem Fallback, kein Absturz — TestService_FallsBackOnStoreFailure (mit recover()-Absicherung): Fallback auf Cache-Stand bzw. sicheres false bei komplett unerreichbarer DB, geloggt. PASS. 4. Modul-Deaktivierung/Reaktivierung ohne Datenverlust — architektonisch durch fehlenden Code-Pfad sichergestellt (siehe oben), zusaetzlich durch TestService_InvalidateForcesImmediateRefresh (Toggle aus/an bleibt konsistent nachvollziehbar) mitabgedeckt. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-27 19:19:59 +02:00
				`@@ -1 +0,0 @@`
				`ALTER TABLE users DROP COLUMN password_hash;`