Iteration 1: Auth (lokale Accounts), RBAC, RLS-Policies, i18n

- Auth.js v5 mit Credentials-Provider: Argon2id-Verifikation, JWT-Session
  mit Mandanten-Kontext, Rollen und Permissions; Login-/Logout-Flow (deutsch)
- RBAC-Katalog (28 Permissions, 5 Rollen-Blueprints) mit serverseitigem
  requirePermission; Seed legt Demo-Mandant und 4 Demo-Nutzer an
- Route-Gate über Next-16-proxy.ts (UX-Ebene), autoritative Prüfung
  serverseitig via requireSession/requirePermission
- Prisma-Migrationen: init + Row-Level-Security-Policies (zweite
  Verteidigungslinie, Scharfschaltung in Härtungs-Iteration dokumentiert)
- i18n-Gerüst mit next-intl (de aktiv, en vorbereitet), Audit-Log-Helper
- Login/Logout end-to-end im Browser verifiziert; Build/Lint/Typecheck grün

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

prisma/migrations/20260702095816_row_level_security/migration.sql

@@ -0,0 +1,36 @@
+-- Row Level Security als zweite Verteidigungslinie (docs/SPEC.md §2).
+-- Primäre Isolation ist der Tenant-Guard in src/server/db.ts.
+--
+-- Aktivierungsstand: Policies sind definiert; die App verbindet sich aktuell
+-- noch als Tabellen-Owner (Policies greifen für Owner ohne FORCE nicht).
+-- Härtungs-Iteration (SPEC §11 Punkt 8): App-Verbindung auf die Rolle
+-- "isms_app" umstellen und app.tenant_id pro Transaktion setzen — dann sind
+-- die Policies scharf. FORCE wird bewusst nicht gesetzt, damit Migrationen,
+-- Seeds und der mandantenübergreifende Login-Lookup als Owner funktionieren.
+
+-- Eingeschränkte Anwendungsrolle (für die Härtungs-Iteration)
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT FROM pg_roles WHERE rolname = 'isms_app') THEN
+    CREATE ROLE isms_app NOLOGIN NOBYPASSRLS;
+  END IF;
+END
+$$;
+
+GRANT USAGE ON SCHEMA public TO isms_app;
+GRANT SELECT, INSERT, UPDATE, DELETE ON ALL TABLES IN SCHEMA public TO isms_app;
+ALTER DEFAULT PRIVILEGES IN SCHEMA public
+  GRANT SELECT, INSERT, UPDATE, DELETE ON TABLES TO isms_app;
+
+-- RLS auf allen mandanten-gebundenen Tabellen
+ALTER TABLE "users" ENABLE ROW LEVEL SECURITY;
+ALTER TABLE "roles" ENABLE ROW LEVEL SECURITY;
+ALTER TABLE "audit_logs" ENABLE ROW LEVEL SECURITY;
+
+-- Isolation: Zugriff nur auf Zeilen des in app.tenant_id gesetzten Mandanten
+CREATE POLICY tenant_isolation ON "users"
+  USING ("tenant_id" = current_setting('app.tenant_id', true));
+CREATE POLICY tenant_isolation ON "roles"
+  USING ("tenant_id" = current_setting('app.tenant_id', true));
+CREATE POLICY tenant_isolation ON "audit_logs"
+  USING ("tenant_id" = current_setting('app.tenant_id', true));