feat(anmeldung): lokale Benutzerkonten mit Pflicht-TOTP (#035)

Ohne authentik gab es nur den Notfall-Admin – ein geteiltes Konto ohne
Rollen und ohne erkennbare Akteure im Audit-Log. Admins legen jetzt
lokale Konten an; sshkv erzeugt ein Einmal-Passwort, das bei der ersten
Anmeldung ersetzt wird, danach ist TOTP Pflicht.

Rollen, Sperren (beendet Sitzungen sofort) und Zurücksetzen unter
Einstellungen → Benutzer, nur für Admins mit frischer Bestätigung.
SSHKV_LOKALE_KONTEN=0 schaltet lokale Konten ab; der Notfall-Admin
bleibt.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/betrieb/abnahme.md

@@ -40,6 +40,19 @@ zeigt `db`, `web` und `worker` als *healthy*.
       „auth_time fehlt oder ist zu alt“ – dann die Flow-Einstellung in authentik prüfen.
 - [ ] Abmelden beendet die Sitzung (Zurück-Knopf zeigt keine Daten mehr).
 
+## B2 · Lokale Konten (wenn ohne oder neben authentik)
+
+- [ ] Einstellungen → „Konten verwalten“ → Konto anlegen (frische Bestätigung nötig) → das
+      Einmal-Passwort erscheint genau einmal; nach Neuladen ist es weg.
+- [ ] Erste Anmeldung im privaten Browserfenster: eigenes Passwort setzen (unter 12 Zeichen wird
+      abgelehnt), TOTP einrichten, Rolle stimmt (unten links „über lokales Konto“).
+- [ ] Sperren → die Sitzung im anderen Fenster endet beim nächsten Klick; Entsperren → wieder
+      anmeldbar.
+- [ ] Zurücksetzen → neues Einmal-Passwort, TOTP wird neu eingerichtet.
+- [ ] Audit-Log enthält Anlegen, Passwort gesetzt, Sperren – **kein** Passwort im Klartext.
+- [ ] Mit `SSHKV_LOKALE_KONTEN=0` und `docker compose up -d`: lokales Konto kommt nicht mehr
+      hinein, der Notfall-Admin schon.
+
 ## C · Notfall-Admin
 
 - [ ] `/anmelden` → „Notfallzugang“: Benutzer `notfall` + Passwort aus `.env` → TOTP-Einrichtung

docs/betrieb/installation.md

@@ -71,6 +71,20 @@ Erneute Bestätigung vor kritischen Aktionen schickt `prompt=login` und `max_age
 | Operator | zusätzlich Hosts verwalten, Host-Keys bestätigen, Schlüssel erzeugen, Public Keys ausrollen, abgleichen |
 | Admin | zusätzlich Private Keys ausrollen/anzeigen/löschen, Zielkonten mit sudo, Massenwiderruf, Einstellungen, Vorlagen |
 
+## Ohne authentik starten: lokale Konten
+
+authentik ist nicht Pflicht. Ohne `SSHKV_OIDC_*` zeigt die Anmeldeseite nur das Formular für
+lokale Konten und den Notfallzugang:
+
+1. Als **Notfall-Admin** anmelden (TOTP einrichten).
+2. Einstellungen → „Konten verwalten“ → für jede Person ein Konto mit passender Rolle anlegen und
+   das Einmal-Passwort auf sicherem Weg weitergeben.
+3. Für den Alltag die eigenen Konten nutzen, den Notfall-Admin nur im Notfall – so bleibt im
+   Audit-Log erkennbar, wer was getan hat.
+
+Später lässt sich authentik dazuschalten; lokale Konten und OIDC laufen nebeneinander.
+`SSHKV_LOKALE_KONTEN=0` schaltet die lokalen Konten danach ab.
+
 ## Reverse Proxy (Beispiel Caddy)
 
 ```caddyfile

docs/betrieb/sicherheit.md

@@ -37,7 +37,11 @@ Private Key steht. Bootstrap-Passwörter werden nie gespeichert.
 - **Rollen:** Private Keys anzeigen, ausrollen und löschen, Deployment-Key, Zielkonten mit sudo und
   Massenwiderruf nur für Admins; kritische Aktionen zusätzlich mit erneuter Anmeldung (5 Minuten).
   Ohne passende authentik-Gruppe gibt es keinen Zugang, auch keinen lesenden.
-- **Notfall-Admin** nur mit Passwort **und** TOTP; Rate-Limit gegen Raten.
+- **Notfall-Admin und lokale Konten** nur mit Passwort **und** TOTP; Rate-Limit gegen Raten
+  (5 Fehlversuche je Anmeldename in 15 Minuten). Lokale Konten bekommen ein vom System erzeugtes
+  Einmal-Passwort, das bei der ersten Anmeldung ersetzt werden muss – Admins kennen die Passwörter
+  anderer nie. Sperren beendet Sitzungen sofort; `SSHKV_LOKALE_KONTEN=0` schaltet lokale Konten
+  ganz ab.
 - **Weboberfläche:** Content-Security-Policy mit Nonce, `X-Frame-Options: DENY`, `Referrer-Policy:
   no-referrer`, HttpOnly-/SameSite-Cookies, Secure hinter HTTPS; Server Actions mit Origin-Prüfung.