feat: 2FA, Passwortrichtlinie und wiederherstellbares JSON-Backup

Zwei-Faktor per TOTP mit zehn Einmal-Wiederherstellungscodes. Der
Zwischenzustand "Passwort stimmt, Code fehlt" haengt an der vorhandenen
Sitzungstabelle (pending_2fa, zehn Minuten Laufzeit) und gilt nirgends als
angemeldet; nach dem Code wird das Cookie getauscht statt weiterverwendet.
Der Wiederverwendungsschutz merkt sich das tatsaechlich getroffene
Zeitfenster, nicht die aktuelle Uhrzeit - sonst liesse sich ein Code aus dem
naechsten Fenster gleich darauf nochmal einloesen.

Passwortrichtlinie (Laenge, Zeichenklassen, MFA-Pflicht) in der neuen
globalen Tabelle app_settings, durchgesetzt beim Anlegen, Zuruecksetzen und
Aendern von Passwoertern. Bestehende Passwoerter lassen sich nicht gegen eine
neue Richtlinie pruefen - der Hash gibt nichts her. Beim Anmelden liegt das
Passwort aber kurz im Klartext vor: dort wird geprueft und bei Verstoss ein
Wechsel verlangt, mit passendem Grund fuer den Hinweistext.

Nebenbei geschlossen: must_change_password war bisher nur im Frontend
erzwungen, wer die API direkt ansprach kam vorbei. enforce_account_state
haengt jetzt am /api-Sammelrouter und laesst nur noch durch, was man zum
Erfuellen der Pflicht braucht.

Das JSON-Backup liess sich bisher grundsaetzlich nicht zurueckladen: keine
Version, Kategorien nur ueber mehrdeutige Namen, sieben Tabellen fehlten.
Daneben steht nun ein Format v2, das Beziehungen ueber lokale IDs abbildet,
je Benutzer oder systemweit. Zurueckgeladen wird nach einer Pruefansicht,
wahlweise ersetzend oder ergaenzend; vor dem Ersetzen legt der Server einen
Schnappschuss der Datenbank an. Der alte Ansichts-Export bleibt fuer
Tabellenkalkulationen bestehen und wird beim Hochladen ausdruecklich
abgewiesen, statt halb zu raten.

Frontend: wiederverwendbares Passwortfeld mit Augensymbol, animierte
Anforderungsliste, 2FA-Seite, Admin-Karte fuer die Richtlinie und Karte zum
Zurueckladen. Neue Bewegung ist in prefers-reduced-motion hinterlegt; Secret
und Codes sind markierbar, sonst verhinderte das globale user-select das
Kopieren.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/services/sessions.py

@@ -23,24 +23,39 @@ def _aware(dt: datetime) -> datetime:
     return dt if dt.tzinfo is not None else dt.replace(tzinfo=timezone.utc)
 
 
-def create_session(db: DBSession, user: User, user_agent: str | None = None) -> str:
+# Wie lange der Zwischenzustand „Passwort ok, Code fehlt" gilt. Kurz, weil in
+# dieser Zeit nur noch der zweite Faktor eingegeben werden soll.
+PENDING_TTL_MINUTES = 10
+# So viele Fehlversuche verträgt eine Pending-Sitzung, dann ist sie verbraucht.
+MAX_2FA_ATTEMPTS = 5
+
+
+def create_session(
+    db: DBSession, user: User, user_agent: str | None = None, pending_2fa: bool = False
+) -> str:
     """Legt eine Sitzung an und gibt das Klartext-Token zurück (nur hier sichtbar)."""
     settings = get_settings()
+    gueltig_bis = (
+        _now() + timedelta(minutes=PENDING_TTL_MINUTES)
+        if pending_2fa
+        else _now() + timedelta(days=settings.session_ttl_days)
+    )
     raw = generate_session_token()
     entry = UserSession(
         user_id=user.id,
         token_hash=hash_session_token(raw),
-        expires_at=_now() + timedelta(days=settings.session_ttl_days),
+        expires_at=gueltig_bis,
         last_seen_at=_now(),
         user_agent=(user_agent or "")[:255] or None,
+        pending_2fa=pending_2fa,
     )
     db.add(entry)
     db.commit()
     return raw
 
 
-def validate(db: DBSession, raw_token: str) -> User | None:
-    """Gibt den Benutzer zurück, wenn das Token gültig und nicht abgelaufen ist."""
+def _lookup(db: DBSession, raw_token: str) -> UserSession | None:
+    """Sucht die Sitzung und räumt sie weg, falls sie abgelaufen ist."""
     if not raw_token:
         return None
     entry = (
@@ -54,6 +69,18 @@ def validate(db: DBSession, raw_token: str) -> User | None:
         db.delete(entry)
         db.commit()
         return None
+    return entry
+
+
+def validate(db: DBSession, raw_token: str) -> User | None:
+    """Gibt den Benutzer zurück, wenn das Token gültig und nicht abgelaufen ist.
+
+    Sitzungen, bei denen der zweite Faktor noch aussteht, gelten hier bewusst
+    als *nicht* angemeldet – sonst wäre das Zwischen-Cookie ein vollwertiger
+    Zugang."""
+    entry = _lookup(db, raw_token)
+    if entry is None or entry.pending_2fa:
+        return None
     user = db.get(User, entry.user_id)
     if user is None or not user.is_active:
         return None
@@ -62,6 +89,27 @@ def validate(db: DBSession, raw_token: str) -> User | None:
     return user
 
 
+def validate_pending(db: DBSession, raw_token: str) -> tuple[UserSession, User] | None:
+    """Gegenstück zu ``validate`` für den Zwei-Faktor-Schritt."""
+    entry = _lookup(db, raw_token)
+    if entry is None or not entry.pending_2fa:
+        return None
+    user = db.get(User, entry.user_id)
+    if user is None or not user.is_active:
+        return None
+    return entry, user
+
+
+def note_failed_2fa(db: DBSession, entry: UserSession) -> bool:
+    """Zählt einen Fehlversuch. Gibt ``True`` zurück, wenn die Sitzung verfällt."""
+    entry.failed_2fa += 1
+    verbraucht = entry.failed_2fa >= MAX_2FA_ATTEMPTS
+    if verbraucht:
+        db.delete(entry)
+    db.commit()
+    return verbraucht
+
+
 def revoke(db: DBSession, raw_token: str) -> None:
     entry = (
         db.query(UserSession)
@@ -76,3 +124,10 @@ def revoke(db: DBSession, raw_token: str) -> None:
 def revoke_all(db: DBSession, user: User) -> None:
     db.query(UserSession).filter(UserSession.user_id == user.id).delete()
     db.commit()
+
+
+def revoke_all_everywhere(db: DBSession) -> None:
+    """Beendet sämtliche Sitzungen – nach einer systemweiten Wiederherstellung,
+    bei der die Benutzertabelle komplett ausgetauscht wurde."""
+    db.query(UserSession).delete()
+    db.commit()