Baustein 2: Inhalte einlesen und pruefen, Handouts, Suche, Glossar

Die fachlichen Inhalte liegen als Dateien unter content/ und werden beim
Start eingelesen, geprueft und in den Speicher geladen.

- Inhaltslader mit Zod-Schemata und Querverweispruefung
- Fehlermeldungen nennen Datei und Zeile, gesammelt statt beim ersten
  Fehler geworfen; die Anwendung startet bei Fehlern nicht
- npm run inhalte:pruefen prueft ohne Start
- Handout-Ansicht mit festem Aufbau, Uebersicht nach Themenbloecken
- Volltextsuche mit Gewichtung und Trefferausschnitt
- Gelesen-Markierung je Handout
- Glossar mit Suche und automatischer Verlinkung in den Handouts
- Beispielinhalte: 4 Wochen, 12 Handouts, 24 Merkkarten, 4 Aufgaben,
  4 Checklisten, 2 Lernzielkontrollen, 24 Glossareintraege
- rahmenplan.yaml aus FIAusbV 2020 und KMK-Rahmenlehrplan, mit Fundstellen
- gray-matter entfernt, YAML-Kopf wird selbst herausgeloest
- npm run screenshots nimmt die Bilder fuer die Anleitung auf
- 39 neue Tests, insgesamt 68

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

content/handouts/S2-benutzer-und-rechte.md

@@ -0,0 +1,53 @@
+---
+id: S2
+titel: Benutzer, Gruppen und Berechtigungen
+block: system
+woche: 4
+worum: Rechte werden an Gruppen vergeben, nie an einzelne Personen – sonst weiß nach zwei Jahren niemand mehr, warum jemand irgendwo hineinkommt.
+rahmenplan: [B3, A6]
+lernfeld: LF4
+merksatz: Rechte an Gruppen, Personen in Gruppen. So wenig wie möglich, so viel wie nötig.
+karten:
+  - frage: Warum vergibt man Berechtigungen an Gruppen statt an einzelne Benutzer?
+    antwort: Weil beim Wechsel einer Person nur die Gruppenzugehörigkeit geändert werden muss und jederzeit nachvollziehbar bleibt, warum jemand ein Recht hat.
+  - frage: Was setzt sich durch, wenn Freigabe- und NTFS-Berechtigungen sich widersprechen?
+    antwort: Die jeweils restriktivere Berechtigung. Über das Netz gilt der Schnitt aus beiden, lokal nur die NTFS-Berechtigung.
+  - frage: Was besagt das Prinzip der geringsten Rechte?
+    antwort: Jedes Konto bekommt genau die Rechte, die es für seine Aufgabe braucht, und nicht mehr – auf Zeit vergebene Rechte werden wieder entzogen.
+---
+
+## Das Wesentliche
+
+- **Rechte an Gruppen, Personen in Gruppen.** Die Gruppe trägt die Begründung im Namen:
+  `FS-Buchhaltung-Aendern` ist selbsterklärend, `Rechte_Meier` nicht.
+- **Prinzip der geringsten Rechte.** Kein Tagesgeschäft mit Administratorrechten. Erhöhte
+  Rechte werden angefordert, benutzt und wieder abgelegt.
+- **Vererbung verstehen**, bevor man sie unterbricht. Ein unterbrochener Vererbungspfad ist
+  in zwei Jahren nicht mehr nachvollziehbar.
+- **Verweigern schlägt Erlauben.** Eine explizite Verweigerung setzt sich gegen jede
+  Erlaubnis durch – deshalb sparsam einsetzen, sonst sucht man sich später tot.
+- **Freigabe und NTFS greifen zusammen:** Über das Netz gilt die restriktivere der beiden.
+  Übliche Praxis: Freigabe auf „Jeder – Vollzugriff", die eigentliche Steuerung über NTFS.
+- **Austritt heißt sperren, nicht löschen.** Gelöschte Konten reißen Berechtigungen und
+  Dateibesitz auseinander.
+
+## Übersicht
+
+| Berechtigung | Erlaubt | Typisch für |
+|---|---|---|
+| Lesen | Öffnen, Auflisten | Nachschlagewerke, Vorlagen |
+| Lesen und Ausführen | zusätzlich Programme starten | Softwareablagen |
+| Ändern | zusätzlich Anlegen, Ändern, Löschen | Arbeitsverzeichnisse einer Abteilung |
+| Vollzugriff | zusätzlich Berechtigungen ändern | ausschließlich Administratoren |
+
+## Prüfungsfrage
+
+**Frage:** Eine Mitarbeiterin wechselt von der Buchhaltung in den Einkauf. Wie gehen Sie mit
+ihren Berechtigungen um?
+
+**Antwort:** Das Konto bleibt bestehen; geändert wird ausschließlich die
+Gruppenzugehörigkeit: Entfernen aus den Gruppen der Buchhaltung, Aufnahme in die Gruppen
+des Einkaufs. Direkt am Konto vergebene Einzelberechtigungen sind zu suchen und zu
+entfernen – sie sind der Grund, warum Rechte über Jahre mitwandern. Die Änderung wird mit
+Datum und Anlass dokumentiert, und nach dem Wechsel wird stichprobenartig geprüft, dass der
+Zugriff auf die Buchhaltungsablagen tatsächlich nicht mehr besteht.