Bremse gegen Passwortraten

Nach fuenf Fehlversuchen wird eine E-Mail-Adresse gesperrt, erst eine
Minute, dann doppelt so lang, hoechstens 15 Minuten. Gezaehlt wird je
Adresse, auch fuer unbekannte - sonst verriete die Sperre, welche Konten
es gibt. Waehrend der Sperre kommt auch das richtige Passwort nicht durch.

Jeder Versuch zaehlt sofort und wird bei Erfolg zurueckgenommen. Zwischen
Sperrpruefung und Zaehlen liegt damit kein await; gleichzeitige Anfragen
kommen so nicht alle an der Sperre vorbei.

Der Zaehler liegt im Speicher des einen Prozesses. Ein Neustart setzt ihn
zurueck - der Notausgang, falls sich das einzige Ausbilderkonto aussperrt.
Beim Aufraeumen wird eine laufende Sperre nie verdraengt.

Die Containerabnahme prueft die Sperre im laufenden Abbild. Das
Abnahmeprotokoll ist gegen diesen Stand neu erzeugt.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/ABNAHME.md

@@ -1,6 +1,6 @@
 # Abnahmeprotokoll
 
-Erzeugt am 2026-09-11 17:16 Uhr
+Erzeugt am 2026-10-04 16:24 Uhr
 
 Erzeugt von `scripts/pruefungen/abnahme.mjs` gegen eine **frische, leere Datenbank**.
 
@@ -54,15 +54,15 @@ Erzeugt von `scripts/pruefungen/abnahme.mjs` gegen eine **frische, leere Datenba
 
 - ✓ Der Azubi legt das Wochenblatt der laufenden Woche an
 - ✓ Ein Wochenblatt lässt sich öffnen
-- ✓ Das Wochenblatt kommt als PDF heraus — HTTP 200, 2646 Bytes
+- ✓ Das Wochenblatt kommt als PDF heraus — HTTP 200, 2649 Bytes
 
 ## A8 · Sicherung zurückspielen
 
-- ✓ Die Sicherung läuft durch — lernbar-20260911-171627.tar.gz
+- ✓ Die Sicherung läuft durch — lernbar-20261004-182433.tar.gz
 - ✓ Zum Beweis wird der Datenbestand beschädigt — 2 → 1 Konten
 - ✓ Die Rückspielung läuft durch — ohne Fehler
 - ✓ Der gelöschte Azubi ist wieder da — Tim Vogt
 - ✓ Auch der Lernverlauf kam mit zurück — 1 Einträge
-- ✓ Der überschriebene Stand wurde zur Seite gelegt, nicht gelöscht — verdraengt-20260911-171632
+- ✓ Der überschriebene Stand wurde zur Seite gelegt, nicht gelöscht — verdraengt-20261004-182436
 
 **36 von 36 Prüfungen erfüllt.**

docs/ANLEITUNG.md

@@ -401,6 +401,7 @@ mitten durchgeschnitten, aufklappbare Abschnitte drucken aufgeklappt.
 
 | Beobachtung | Woran es liegt |
 |---|---|
+| „Zu viele Fehlversuche" bei der Anmeldung | Nach fünf falschen Passwörtern wird die Adresse für eine Minute gesperrt, bei weiteren Fehlversuchen länger, höchstens 15 Minuten. Abwarten – oder Passwort vom Ausbilder neu setzen lassen. Hat sich das einzige Ausbilderkonto ausgesperrt: `docker compose restart lernbar` setzt die Sperre zurück. |
 | „Diese Seite gibt es nicht" bei fremden Daten | Kein Fehler, sondern die Rechteprüfung. Ob es zu einer Kennung überhaupt Daten gibt, geht Unbefugte nichts an – deshalb 404 und nicht „kein Zugriff". |
 | Die Anwendung startet nicht, nennt aber Datei und Zeile | Ein Inhaltsfehler unter `content/`. Die Meldung sagt genau, wo. `npm run inhalte:pruefen` prüft ohne Start. |
 | Ein Anhang lässt sich nicht hochladen | Über 25 MB. Bei einem Reverse Proxy zusätzlich `client_max_body_size 30m` setzen (siehe README). |