Fundament Benutzer-/Rollenverwaltung: Schema, Passwort-Policy, Force-Change

Vorbereitung für die Benutzer- & Rollenverwaltung (Pakete A–C) ohne E-Mail-Flow.

- Schema: User.mustChangePassword (erzwungener Wechsel), User.mfaEnrolledAt +
  recoveryCodes (optionale Nutzer-MFA, Paket C); neues Singleton PlatformSetting
  mit mfaRequired (Default aus → MFA optional). Migration additiv + Grant/Seed.
- RBAC: neue Permission role:manage (Rollenverwaltung), dem Mandanten-Admin
  zugewiesen; für den bestehenden Demo-Mandanten nachgezogen (neue Tenants via
  provision/seed automatisch).
- Passwort-Policy: lib/password-policy.ts (client-safe Validierung/Beschreibung,
  Defaults + Ableitung aus TenantSettings.securityPolicy) und server/password.ts
  (Argon2id-Hash + policy-konformer Einmal-Passwort-Generator).
- Force-Change-Flow: /change-password (außerhalb der (app)-Shell) + Self-Service-
  Action changeOwnPassword (policy-geprüft, Audit). (app)-Layout erzwingt den
  Wechsel autoritativ aus der DB und sperrt deaktivierte Konten (Abmelden-Screen).

tsc + lint + build + Guard-Check grün.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

src/app/(app)/layout.tsx

@@ -32,6 +32,27 @@ export default async function AppLayout({
   const session = await auth();
   if (!session?.user) redirect("/login");
 
+  // Kontostatus (autoritativ aus DB, nicht aus dem JWT): deaktivierte Nutzer werden
+  // abgemeldet, ein offener Passwortwechsel wird erzwungen (Force-Change).
+  const account = await dbForTenant(session.user.tenantId).user.findUnique({
+    where: { id: session.user.id },
+    select: { status: true, mustChangePassword: true },
+  });
+  if (!account || account.status !== "ACTIVE") {
+    return (
+      <main className="flex min-h-screen flex-1 items-center justify-center p-6">
+        <div className="shadow-card w-full max-w-sm rounded-2xl border bg-card p-8 text-center">
+          <p className="font-heading text-lg font-semibold">Konto deaktiviert</p>
+          <p className="mt-1 text-sm text-muted-foreground">Ihr Zugang wurde deaktiviert. Bitte wenden Sie sich an Ihre Administration.</p>
+          <form action={async () => { "use server"; await signOut({ redirectTo: "/login" }); }} className="mt-5">
+            <Button type="submit" variant="outline" className="w-full">Abmelden</Button>
+          </form>
+        </div>
+      </main>
+    );
+  }
+  if (account.mustChangePassword) redirect("/change-password");
+
   const t = await getTranslations("nav");
   const tc = await getTranslations("common");