Admin-Konsole & Mandantenverwaltung (Phase 1)

Plattform-Admin-Konsole (Superadmin) + Kunden-Einstellungsbereich:

- Datenmodell: TenantSettings (Quelle der ISMS-Template-Variablen), TenantModule
  (Feature-Toggles je Mandant), Tenant += short/sector, TenantStatus += ARCHIVED,
  AuditLog += scope (tenant|platform); RLS für die neuen Tenant-Tabellen.
- Wiederverwendbare Provisionierung (server/provision.ts): Rollen+Permissions,
  erster Admin-User, Einstellungen, alle Module, optional Richtlinienpaket-Seed +
  TISAX-Default; idempotent + Audit (§3.7). syncPolicyVariablesFromSettings mappt
  Stammdaten → ISMS-Variablen (ORG_NAME, ISMS_SCOPE, ROLE_* …).
- Admin-Konsole /admin (Guard isPlatformAdmin): Mandantenliste, „Neuer Kunde"
  (anlegen + provisionieren), Detailseite mit Modul-Toggles, Lebenszyklus
  (aktiv/gesperrt/archiviert), Nutzerliste. Aktionen im Plattform-Audit-Log.
- Kunden-Einstellungen /settings (Guard tenant:manage): Unternehmensdaten,
  verantwortliche Rollen, Branding/Regionales, TISAX-Level — Stammdaten speisen
  die ISMS-Variablen (eine Pflegestelle). Modul-Übersicht.
- Modul-Gating der Navigation (deaktivierte Module ausgeblendet); Login bereits
  für gesperrte/archivierte Mandanten blockiert (auth.authorize).
- Seed: Demo-Mandant mit Einstellungen, 12 aktiven Modulen; admin@demo.example
  = Superadmin.

Verifiziert: tsc/lint/build grün; Seed rollt Einstellungen/Module/Superadmin aus.
(Browser-Verifikation diese Sitzung nicht möglich — Preview-Tools getrennt.)

Offen (Phase 2): separater Superadmin-Store + eigener Login + MFA-Pflicht;
Impersonation (zeitlich begrenzt, protokolliert); Plan/Limits; Logo-Upload/
Objektspeicher; SMTP/Benachrichtigungen; per-Route-Modul-Enforcement (serverseitig);
Datenexport/Löschung/Retention (DSGVO); SSO.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

prisma/schema.prisma

@@ -18,6 +18,7 @@ datasource db {
 enum TenantStatus {
   ACTIVE
   SUSPENDED
+  ARCHIVED
 }
 
 enum UserStatus {
@@ -31,6 +32,8 @@ model Tenant {
   id        String       @id @default(cuid())
   name      String
   slug      String       @unique
+  short     String?
+  sector    String?
   status    TenantStatus @default(ACTIVE)
   config    Json         @default("{}")
   createdAt DateTime     @default(now()) @map("created_at")
@@ -39,10 +42,59 @@ model Tenant {
   users     User[]
   roles     Role[]
   auditLogs AuditLog[]
+  settings  TenantSettings?
+  modules   TenantModule[]
 
   @@map("tenants")
 }
 
+// Mandanten-Einstellungen: Quelle der ISMS-Template-Variablen (§4.1) + Branding/Policy
+model TenantSettings {
+  id                    String   @id @default(cuid())
+  tenantId              String   @unique @map("tenant_id")
+  orgName               String   @map("org_name")
+  orgShort              String?  @map("org_short")
+  address               String?
+  sector                String?
+  duns                  String?
+  ismsScope             String?  @map("isms_scope")
+  ismsScopeDescription  String?  @map("isms_scope_description")
+  roleManagement        String?  @map("role_management")
+  roleIsb               String?  @map("role_isb")
+  roleItLead            String?  @map("role_it_lead")
+  roleDpo               String?  @map("role_dpo")
+  logoKey               String?  @map("logo_key")
+  accent                String?
+  locale                String   @default("de")
+  timezone              String   @default("Europe/Berlin")
+  tisaxLevel            String   @default("AL2") @map("tisax_level") // AL2 | AL3
+  securityPolicy        Json     @default("{}") @map("security_policy") // pw/mfa/session
+  smtp                  Json     @default("{}")
+  createdAt             DateTime @default(now()) @map("created_at")
+  updatedAt             DateTime @updatedAt @map("updated_at")
+
+  tenant Tenant @relation(fields: [tenantId], references: [id], onDelete: Cascade)
+
+  @@index([tenantId])
+  @@map("tenant_settings")
+}
+
+// Modul-Freischaltung je Mandant (Feature-Toggle) — gated Navigation, API und Daten
+model TenantModule {
+  id         String   @id @default(cuid())
+  tenantId   String   @map("tenant_id")
+  moduleKey  String   @map("module_key")
+  enabled    Boolean  @default(true)
+  createdAt  DateTime @default(now()) @map("created_at")
+  updatedAt  DateTime @updatedAt @map("updated_at")
+
+  tenant Tenant @relation(fields: [tenantId], references: [id], onDelete: Cascade)
+
+  @@unique([tenantId, moduleKey])
+  @@index([tenantId])
+  @@map("tenant_modules")
+}
+
 model User {
   id           String     @id @default(cuid())
   tenantId     String     @map("tenant_id")
@@ -641,6 +693,7 @@ model MaturityAssessment {
 model AuditLog {
   id        String   @id @default(cuid())
   tenantId  String   @map("tenant_id")
+  scope     String   @default("tenant") // tenant | platform
   actorId   String?  @map("actor_id")
   action    String // create | update | delete | login | export | …
   entity    String // z. B. asset, risk, user