Adminrecht geben und nehmen — und einen, dem es niemand nimmt

Ein Konto liess sich anlegen und danach nie wieder ändern: kein Weg zum
Administrator, keiner zurück, keiner zum Löschen. Mit Einladungslinks
füllte sich der Server also in genau eine Richtung.

**Warum es einen Besitzer braucht.** Sobald Administratoren einander das
Recht entziehen können, gibt es einen Zustand ohne jeden Administrator —
und aus dem führt kein Weg zurück ausser dem an der Datenbank. Ein Konto,
das ausgenommen ist, schliesst ihn aus. Es ist das erste, also das, mit
dem eingerichtet wurde; die Migration trägt das auf bestehenden Servern
nach, und weil die Kennungen zeitlich geordnet vergeben werden, ist der
Älteste schlicht der mit der kleinsten.

Weitergeben lässt er sich: vom Besitzer, an einen Administrator, mit
Rückfrage. Nur an einen Administrator, sonst wäre der Server einen Klick
von einem Besitzer entfernt, der die Verwaltung gar nicht sieht.

**Drei Türen sind zugemauert**, und jede hat ihren Test: dem Besitzer das
Recht nehmen, den Besitzer löschen, sich selbst das eigene Recht nehmen.
Das letzte ist die unauffälligste — wer sich im Eifer entmachtet, steht
vor einer Verwaltung, die er nicht mehr öffnen kann, und das Zurücknehmen
braucht genau die.

Gemessen und als Test festgehalten: ein frisch vergebenes Adminrecht gilt
**sofort**, ohne neue Anmeldung. Die Rolle wird je Anfrage aus der
Datenbank gelesen und nicht aus dem Token — ich hatte das Gegenteil
befürchtet.

Löschen nimmt mit, was am Konto hing: Geräte, Sehstände, Sehprotokoll,
Meldungen, offene Einladungen. Alles hängt mit `Cascade` daran. Zahlen
über jemanden zu führen, den es nicht mehr gibt, wäre die schlechtere
Hälfte.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

server/src/Flaro.Api/Endpoints/Contracts.cs

@@ -91,7 +91,16 @@ public sealed record AuthenticatedUser(
     /// auf jeder Seite; es nach der Anmeldung noch einmal holen zu müssen
     /// hiesse, dass der Buchstabenkreis kurz aufblitzt und dann wechselt.
     /// </remarks>
-    string? AvatarImage = null);
+    string? AvatarImage = null,
+
+    /// <summary>Der Besitzer — ihm nimmt niemand das Adminrecht.</summary>
+    ///
+    /// <remarks>
+    /// Hinten angehängt, wie jedes neue Feld in dieser Datei: in der Mitte
+    /// eingeschoben bricht es jede Aufrufstelle, die die Werte der Reihe nach
+    /// übergibt — und davon gibt es hier drei.
+    /// </remarks>
+    bool IsOwner = false);
 
 public sealed record LoginResponse(string Token, AuthenticatedUser User);
 
@@ -109,6 +118,9 @@ public sealed record CodeState(string State, LoginResponse? Login);
 
 public sealed record CreateUserRequest(string UserName, string Password, bool IsAdministrator);
 
+/// <summary>Adminrecht geben oder nehmen.</summary>
+public sealed record RechtRequest(bool IsAdministrator);
+
 /// <summary>Eine Bibliothek, wie die Oberfläche sie zeigt.</summary>
 ///
 /// <remarks>