Paket C — MFA optional für Superadmins und Mandanten-Nutzer

MFA ist nicht mehr erzwungen, sondern freiwillig; die Erzwingung bleibt über ein
Policy-Flag als Option erhalten (Anpassung von Phase-1-Paket 2).

Plattform-Admins:
- (platform)/layout erzwingt Enrollment nur noch, wenn PlatformSetting.mfaRequired
  aktiv ist (Default: aus) → Login ohne MFA möglich.
- Profil & Sicherheit (/platform/profile): MFA freiwillig aktivieren (Enroll-Flow)
  bzw. deaktivieren (nur solange keine Pflicht gilt); Recovery-Code-Anzeige.
- Policy-Flag „MFA-Pflicht" umschaltbar (setPlatformMfaRequired) — stellt die
  Erzwingung ohne Codeumbau wieder her. Rate-Limit/Lockout/Audit bleiben unverändert.

Mandanten-Nutzer (analog):
- auth.ts verlangt den TOTP-/Recovery-Code beim Login nur, wenn der Nutzer MFA
  eingerichtet hat; Login-Formular um optionales MFA-Feld ergänzt (i18n de/en).
- Persönliches Konto (/account): MFA selbst aktivieren (QR + Bestätigung, Recovery-
  Codes) bzw. deaktivieren; disableOwnMfa respektiert eine tenant-weite MFA-Pflicht
  (securityPolicy.mfaRequired) als fortbestehende Option.

Browser-verifiziert: Plattform-Login ohne MFA → /admin; Tenant-Login zeigt das
MFA-Feld; /account bietet QR-Enrollment. tsc + lint + build + Guard-Check grün.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

src/app/(app)/layout.tsx

@@ -155,13 +155,15 @@ export default async function AppLayout({
             />
           </form>
           <div className="flex-1" />
-          <div className="text-right leading-tight">
-            <p className="text-[13px] font-semibold">{session.user.name}</p>
-            <p className="text-xs text-muted-foreground">{session.user.tenantSlug}</p>
-          </div>
-          <div className="bg-grad-soft grid size-9.5 shrink-0 place-items-center rounded-full font-heading text-sm font-bold text-white">
-            {initials}
-          </div>
+          <Link href="/account" className="flex items-center gap-3" title="Mein Konto (MFA)">
+            <div className="text-right leading-tight">
+              <p className="text-[13px] font-semibold">{session.user.name}</p>
+              <p className="text-xs text-muted-foreground">{session.user.tenantSlug}</p>
+            </div>
+            <div className="bg-grad-soft grid size-9.5 shrink-0 place-items-center rounded-full font-heading text-sm font-bold text-white">
+              {initials}
+            </div>
+          </Link>
           <form action={logout}>
             <Button type="submit" variant="ghost" size="sm">
               {tc("logout")}