docs: Projektplan, Issues und Konventionen anlegen

Plan nach Freigabe vom 12.10.2026 mit den Antworten auf die sieben
Rueckfragen. Issues fuer alle fuenf Phasen als Dateien, bis der
Gitea-Zugang da ist (#030).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/issues/004-anmeldung-rollen.md

@@ -0,0 +1,28 @@
+# #004 Anmeldung, Rollen und erneute Bestätigung
+**Status:** offen
+**Meilenstein:** v0.1.0
+**Labels:** sicherheit
+**Geschätzt:** 5 h   **Tatsächlich:** –
+
+## Ziel
+Anmeldung per OIDC (authentik, in der Entwicklung Mock-Anbieter) und lokaler Notfall-Admin mit Passwort + TOTP. Rollen Admin/Operator/Leser, Re-Auth für kritische Aktionen.
+
+## Aufgaben
+- [ ] Sitzungs-Cookie (`jose`), OIDC mit PKCE (`openid-client`)
+- [ ] Rollen aus authentik-Gruppen, bei jeder Anmeldung neu
+- [ ] Notfall-Admin: argon2id + TOTP (Pflicht), Einrichtung beim ersten Login
+- [ ] Re-Auth: OIDC `prompt=login`/`max_age=0` + `auth_time`, Notfall-Admin Passwort + TOTP; Gültigkeit 5 min
+- [ ] Rechtetabelle `darf()`, jede Seite/Route prüft selbst; struktureller Test
+- [ ] Rate-Limit für Anmeldung und Re-Auth
+- [ ] Mock-OIDC-Anbieter in `docker-compose.dev.yml`
+- [ ] Proxy mit CSP-Nonce und Sicherheits-Kopfzeilen
+
+## Akzeptanzkriterien
+- [ ] Ohne Anmeldung keine Seite erreichbar
+- [ ] Operator sieht keine Private-Key-Funktionen
+- [ ] Re-Auth älter als 5 min wird abgelehnt
+
+## Abhängigkeiten
+#003
+
+## Notizen / Entscheidungen