feat(auth): Anmeldeseiten, TOTP-Einrichtung und Bestaetigung (#004)

Anmeldung, Einrichtung des zweiten Faktors fuer den Notfall-Admin,
erneute Bestaetigung vor kritischen Aktionen und die Seite fuer
fehlende Rechte. Die Huelle zeigt jetzt den echten Benutzer, und jede
Seite prueft die Sitzung selbst; ein struktureller Test haelt das fest.

Die Ablaeufe sind im gebauten Stand gegen den Mock-OIDC geprueft
(pnpm test:e2e): Admin, Konto ohne Gruppe, Notfall-Admin mit TOTP.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

src/components/huelle/Huelle.tsx

@@ -1,3 +1,4 @@
+import { LogOut } from "lucide-react";
 import Link from "next/link";
 import type { ReactNode } from "react";
 import { Bildmarke, Kurzname, Marke, Wortmarke } from "@/components/marke";
@@ -86,6 +87,17 @@ function BenutzerKasten({ benutzer }: { benutzer: HuellenBenutzer }) {
           {ROLLEN_TEXT[benutzer.rolle]} · über {benutzer.herkunft}
         </p>
       </div>
+      {/* Abmelden nur per POST, damit ein fremder Link niemanden abmelden kann (#004). */}
+      <form action="/api/auth/abmelden" method="post" className="ml-auto">
+        <button
+          type="submit"
+          title="Abmelden"
+          aria-label="Abmelden"
+          className="text-muted hover:text-text hover:bg-raised rounded-feld flex size-11 items-center justify-center"
+        >
+          <LogOut size={17} aria-hidden />
+        </button>
+      </form>
     </div>
   );
 }