Merge branch 'phase/036-devlog'

DEVLOG.md

@@ -2,8 +2,8 @@
 
 ## Zeitübersicht
 
-**Gesamt (Wandzeit):** 5 h 50 min  
+**Gesamt (Wandzeit):** 6 h 40 min  
-**Summe der Issue-Zeiten:** 15 h 43 min – Sub-Agenten arbeiteten parallel an #002, #006, #008, #011, #012–#014, #019 (Oberfläche), #023–#025, #027, #028 und #032.
+**Summe der Issue-Zeiten:** 16 h 38 min – Sub-Agenten arbeiteten parallel an #002, #006, #008, #011, #012–#014, #019 (Oberfläche), #023–#025, #027, #028 und #032.
 
 | Issue | Zeit |
 |---|---|
@@ -42,6 +42,8 @@
 | #032 Nacharbeiten Phase 4/5 | 0 h 45 min |
 | #033 Erneut rotieren nach Abbruch | 0 h 20 min |
 | #034 Abnahme-Checkliste | 0 h 10 min |
+| #035 Lokale Benutzerkonten | 0 h 35 min |
+| #036 Deployment-Key-Rotation abbrechen | 0 h 20 min |
 
 | Meilenstein | Zeit |
 |---|---|
@@ -50,7 +52,7 @@
 | v0.3.0 | 0 h 30 min (Wandzeit) | **abgeschlossen**
 | v0.4.0 | 0 h 45 min (Wandzeit) | **abgeschlossen**
 | v0.5.0 | 0 h 45 min (Wandzeit) | **abgeschlossen**
-| v1.0.0 | 1 h 25 min (Wandzeit) | in Arbeit – Abnahme steht aus
+| v1.0.0 | 2 h 15 min (Wandzeit) | in Arbeit – Abnahme steht aus
 
 ---
 
@@ -185,3 +187,18 @@
 - **Neustart erst nach abgeschlossenem Abbruch** – sonst stünden zwei neue Schlüssel gleichzeitig auf den Hosts.
 - **Bestätigung „Rotation abgebrochen“ bleibt sichtbar** über dem Neustart, statt kommentarlos auf Schritt 1 zu springen (fand der E2E-Test).
 
+## 2026-10-12 · Sitzung 8 · 22:05–22:55
+**Issue:** #035, #036
+**Version:** unveröffentlicht (auf dem Weg zu 1.0.0)
+
+### Erledigt
+- #035 Lokale Benutzerkonten mit Pflicht-TOTP: Einmal-Passwort, eigenes Passwort bei der ersten Anmeldung, Benutzerverwaltung unter Einstellungen, Schalter `SSHKV_LOKALE_KONTEN`
+- #036 Rotation des Deployment-Keys vor dem Umstellen abbrechen
+- Stand: 911 Unit-/DB-Tests, 47 Integrationstests, 29 E2E-Abläufe grün
+
+### Entscheidungen
+- **TOTP auch für lokale Konten Pflicht; lokale Konten dauerhaft, aber abschaltbar** (Florian).
+- **Admins wählen keine Passwörter für andere** – sshkv erzeugt ein Einmal-Passwort, das genau einmal angezeigt wird.
+- **`SSHKV_LOKALE_KONTEN` muss in `docker-compose.yml` stehen:** Compose reicht nur ausdrücklich genannte Variablen an den Web-Container weiter – sonst hätte der Schalter im Betrieb nicht gewirkt.
+- **Testreste machen Produktlücken sichtbar:** Eine hängengebliebene Rotation auf verwaisten Testhosts zeigte, dass es keinen Weg zurück gab (#036). Die E2E-Tests räumen solche Reste jetzt selbst ab.
+

docs/issues/035-lokale-konten.md

@@ -2,7 +2,7 @@
 **Status:** erledigt
 **Meilenstein:** v1.0.0
 **Labels:** sicherheit, backend, ui
-**Geschätzt:** 2 h   **Tatsächlich:** 0 h 55 min
+**Geschätzt:** 2 h   **Tatsächlich:** 0 h 35 min
 
 ## Ziel
 sshkv ohne authentik in Betrieb nehmen können – mit eigenen Konten je Person statt eines geteilten Notfall-Admins, damit Rollen und Audit-Log stimmen. Später laufen lokale Konten und OIDC nebeneinander, oder die lokalen werden abgeschaltet.

docs/issues/036-deploymentkey-abbrechen.md

@@ -2,7 +2,7 @@
 **Status:** erledigt
 **Meilenstein:** v1.0.0
 **Labels:** sicherheit, backend
-**Geschätzt:** 0,5 h   **Tatsächlich:** 0 h 25 min
+**Geschätzt:** 0,5 h   **Tatsächlich:** 0 h 20 min
 
 ## Ziel
 Eine begonnene Rotation des Deployment-Keys (#031) zurücknehmen können, etwa wenn ein Host den neuen Key dauerhaft nicht annimmt – bisher blieb nur, Hosts beim Umstellen zu übergehen.