feat(deploymentkey): Rotation vor dem Umstellen abbrechen (#036)

Eine begonnene Rotation ließ sich nicht zurücknehmen; nahm ein Host den
neuen Key dauerhaft nicht an, blieb nur das Übergehen. Abbrechen
verwirft jetzt den neuen Key samt Private Key, ein Dry-Run nimmt ihn
wieder von den Hosts, und eine neue Rotation kann sofort starten.

Nebenbei: Aktionen der Benutzerverwaltung (#035) bekommen im Audit-Log
eine eigene Gruppe, statt den Filter „Anmeldung“ zu verwässern; der
E2E-Test für lokale Konten hängt nicht mehr von der Reihenfolge ab.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/e2e/lokale-konten.spec.ts

@@ -17,12 +17,8 @@ test("lokales Konto anlegen, erste Anmeldung, sperren", async ({ page, browser }
   await page.getByRole("link", { name: "Konten verwalten" }).click();
   await expect(page.getByRole("heading", { name: "Benutzer", exact: true })).toBeVisible();
 
-  await page.getByLabel("Anmeldename").fill(anmeldename);
-  await page.getByLabel("Name", { exact: true }).fill("E2E Lokal");
-  await page.getByLabel("Rolle", { exact: true }).selectOption("OPERATOR");
-  await page.getByRole("button", { name: "Konto anlegen" }).click();
-  // Ohne frische Bestaetigung lehnt der Server ab; danach klappt es.
-  await expect(page.getByText(/erneute Bestätigung/)).toBeVisible();
+  // Frische Bestaetigung immer selbst holen – ob ein frueherer Test sie schon gesetzt hat,
+  // haengt von der Reihenfolge ab. Dass das Recht sie verlangt, pruefen die Unit-Tests.
   await page.goto("/bestaetigen?ziel=%2Feinstellungen%2Fbenutzer");
   await oidcBestaetigen(page);
   await expect(page).toHaveURL(/\/einstellungen\/benutzer$/);