# #004 Anmeldung, Rollen und erneute Bestätigung
**Status:** offen
**Meilenstein:** v0.1.0
**Labels:** sicherheit
**Geschätzt:** 5 h   **Tatsächlich:** –

## Ziel
Anmeldung per OIDC (authentik, in der Entwicklung Mock-Anbieter) und lokaler Notfall-Admin mit Passwort + TOTP. Rollen Admin/Operator/Leser, Re-Auth für kritische Aktionen.

## Aufgaben
- [ ] Sitzungs-Cookie (`jose`), OIDC mit PKCE (`openid-client`)
- [ ] Rollen aus authentik-Gruppen, bei jeder Anmeldung neu
- [ ] Notfall-Admin: argon2id + TOTP (Pflicht), Einrichtung beim ersten Login
- [ ] Re-Auth: OIDC `prompt=login`/`max_age=0` + `auth_time`, Notfall-Admin Passwort + TOTP; Gültigkeit 5 min
- [ ] Rechtetabelle `darf()`, jede Seite/Route prüft selbst; struktureller Test
- [ ] Rate-Limit für Anmeldung und Re-Auth
- [ ] Mock-OIDC-Anbieter in `docker-compose.dev.yml`
- [ ] Proxy mit CSP-Nonce und Sicherheits-Kopfzeilen

## Akzeptanzkriterien
- [ ] Ohne Anmeldung keine Seite erreichbar
- [ ] Operator sieht keine Private-Key-Funktionen
- [ ] Re-Auth älter als 5 min wird abgelehnt

## Abhängigkeiten
#003

## Notizen / Entscheidungen