Admin-Konsole & Mandantenverwaltung (Phase 1)

Plattform-Admin-Konsole (Superadmin) + Kunden-Einstellungsbereich:

- Datenmodell: TenantSettings (Quelle der ISMS-Template-Variablen), TenantModule
  (Feature-Toggles je Mandant), Tenant += short/sector, TenantStatus += ARCHIVED,
  AuditLog += scope (tenant|platform); RLS für die neuen Tenant-Tabellen.
- Wiederverwendbare Provisionierung (server/provision.ts): Rollen+Permissions,
  erster Admin-User, Einstellungen, alle Module, optional Richtlinienpaket-Seed +
  TISAX-Default; idempotent + Audit (§3.7). syncPolicyVariablesFromSettings mappt
  Stammdaten → ISMS-Variablen (ORG_NAME, ISMS_SCOPE, ROLE_* …).
- Admin-Konsole /admin (Guard isPlatformAdmin): Mandantenliste, „Neuer Kunde"
  (anlegen + provisionieren), Detailseite mit Modul-Toggles, Lebenszyklus
  (aktiv/gesperrt/archiviert), Nutzerliste. Aktionen im Plattform-Audit-Log.
- Kunden-Einstellungen /settings (Guard tenant:manage): Unternehmensdaten,
  verantwortliche Rollen, Branding/Regionales, TISAX-Level — Stammdaten speisen
  die ISMS-Variablen (eine Pflegestelle). Modul-Übersicht.
- Modul-Gating der Navigation (deaktivierte Module ausgeblendet); Login bereits
  für gesperrte/archivierte Mandanten blockiert (auth.authorize).
- Seed: Demo-Mandant mit Einstellungen, 12 aktiven Modulen; admin@demo.example
  = Superadmin.

Verifiziert: tsc/lint/build grün; Seed rollt Einstellungen/Module/Superadmin aus.
(Browser-Verifikation diese Sitzung nicht möglich — Preview-Tools getrennt.)

Offen (Phase 2): separater Superadmin-Store + eigener Login + MFA-Pflicht;
Impersonation (zeitlich begrenzt, protokolliert); Plan/Limits; Logo-Upload/
Objektspeicher; SMTP/Benachrichtigungen; per-Route-Modul-Enforcement (serverseitig);
Datenexport/Löschung/Retention (DSGVO); SSO.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

prisma/seed.ts

@@ -6,6 +6,7 @@ import { join } from "node:path";
 import { PERMISSIONS, ROLE_DEFS } from "../src/server/rbac";
 import { importPolicies } from "./import-policies";
 import { importManaged } from "./import-managed";
+import { MODULE_KEYS } from "../src/lib/modules";
 
 /**
  * Seed: global permission catalog + demo tenant with roles and users.
@@ -526,6 +527,34 @@ async function main() {
 
   const mc = await importManaged(prisma, tenant.id);
   console.log(`✔ Verwaltete Register: Krypto ${mc.crypto}, Klassifizierung ${mc.classes}×${mc.aspects}, Risikomatrix (${mc.damage} Schadensdim.), Handbuch ${mc.handbook} Themen`);
+
+  // 11. Admin-Konsole: Mandanten-Einstellungen, Module, Superadmin
+  await prisma.user.updateMany({ where: { tenantId: tenant.id, email: "admin@demo.example" }, data: { isPlatformAdmin: true } });
+  await prisma.tenantSettings.upsert({
+    where: { tenantId: tenant.id },
+    update: {},
+    create: {
+      tenantId: tenant.id,
+      orgName: "GEFIM Demo GmbH",
+      orgShort: "GEFIM",
+      sector: "IT-Dienstleistung",
+      ismsScope: "IT-Betrieb & Softwareentwicklung",
+      ismsScopeDescription: "IT-Betrieb, Softwareentwicklung und zugehörige Unterstützungsprozesse am Standort Zentrale",
+      roleManagement: "Geschäftsführung",
+      roleIsb: "Informationssicherheitsbeauftragte(r) (ISB)",
+      roleItLead: "IT-Leitung",
+      roleDpo: "Datenschutzbeauftragte(r) (DSB)",
+      tisaxLevel: "AL2",
+    },
+  });
+  for (const key of MODULE_KEYS) {
+    await prisma.tenantModule.upsert({
+      where: { tenantId_moduleKey: { tenantId: tenant.id, moduleKey: key } },
+      update: {},
+      create: { tenantId: tenant.id, moduleKey: key, enabled: true },
+    });
+  }
+  console.log(`✔ Admin-Konsole: Einstellungen, ${MODULE_KEYS.length} Module aktiv, admin@demo.example = Superadmin`);
 }
 
 main()