feat: 2FA, Passwortrichtlinie und wiederherstellbares JSON-Backup

Zwei-Faktor per TOTP mit zehn Einmal-Wiederherstellungscodes. Der
Zwischenzustand "Passwort stimmt, Code fehlt" haengt an der vorhandenen
Sitzungstabelle (pending_2fa, zehn Minuten Laufzeit) und gilt nirgends als
angemeldet; nach dem Code wird das Cookie getauscht statt weiterverwendet.
Der Wiederverwendungsschutz merkt sich das tatsaechlich getroffene
Zeitfenster, nicht die aktuelle Uhrzeit - sonst liesse sich ein Code aus dem
naechsten Fenster gleich darauf nochmal einloesen.

Passwortrichtlinie (Laenge, Zeichenklassen, MFA-Pflicht) in der neuen
globalen Tabelle app_settings, durchgesetzt beim Anlegen, Zuruecksetzen und
Aendern von Passwoertern. Bestehende Passwoerter lassen sich nicht gegen eine
neue Richtlinie pruefen - der Hash gibt nichts her. Beim Anmelden liegt das
Passwort aber kurz im Klartext vor: dort wird geprueft und bei Verstoss ein
Wechsel verlangt, mit passendem Grund fuer den Hinweistext.

Nebenbei geschlossen: must_change_password war bisher nur im Frontend
erzwungen, wer die API direkt ansprach kam vorbei. enforce_account_state
haengt jetzt am /api-Sammelrouter und laesst nur noch durch, was man zum
Erfuellen der Pflicht braucht.

Das JSON-Backup liess sich bisher grundsaetzlich nicht zurueckladen: keine
Version, Kategorien nur ueber mehrdeutige Namen, sieben Tabellen fehlten.
Daneben steht nun ein Format v2, das Beziehungen ueber lokale IDs abbildet,
je Benutzer oder systemweit. Zurueckgeladen wird nach einer Pruefansicht,
wahlweise ersetzend oder ergaenzend; vor dem Ersetzen legt der Server einen
Schnappschuss der Datenbank an. Der alte Ansichts-Export bleibt fuer
Tabellenkalkulationen bestehen und wird beim Hochladen ausdruecklich
abgewiesen, statt halb zu raten.

Frontend: wiederverwendbares Passwortfeld mit Augensymbol, animierte
Anforderungsliste, 2FA-Seite, Admin-Karte fuer die Richtlinie und Karte zum
Zurueckladen. Neue Bewegung ist in prefers-reduced-motion hinterlegt; Secret
und Codes sind markierbar, sonst verhinderte das globale user-select das
Kopieren.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

web/src/locales/de.json

@@ -40,7 +40,8 @@
     "repeat": "Neues Passwort wiederholen",
     "submit": "Passwort speichern",
     "mismatch": "Die neuen Passwörter stimmen nicht überein.",
-    "saved": "Passwort geändert."
+    "saved": "Passwort geändert.",
+    "policyHint": "Die Passwortrichtlinie wurde geändert. Dein bisheriges Passwort erfüllt sie nicht mehr – bitte lege ein neues fest."
   },
   "users": {
     "title": "Benutzer",
@@ -56,7 +57,12 @@
     "resetPassword": "Passwort zurücksetzen",
     "deleteConfirm": "Diesen Benutzer wirklich löschen?",
     "created": "Benutzer angelegt.",
-    "you": "(du)"
+    "you": "(du)",
+    "twoFactor": "Zwei-Faktor",
+    "resetTwoFactor": "Zwei-Faktor zurücksetzen",
+    "resetTwoFactorConfirm": "Zwei-Faktor für „{{name}}“ abschalten? Nur nötig, wenn Gerät und Wiederherstellungscodes verloren sind.",
+    "twoFactorReset": "Zwei-Faktor zurückgesetzt.",
+    "generatePassword": "Passwort erzeugen"
   },
   "settings": {
     "title": "Einstellungen",
@@ -84,7 +90,14 @@
     "keywordReviewHint": "Diese Schlagwörter werden auffällig oft wieder wegkorrigiert – stimmen sie vielleicht nicht mehr?",
     "keywordCorrected": "{{overridden}} von {{applied}} Buchungen korrigiert",
     "keep": "Behalten",
-    "remove": "Entfernen"
+    "remove": "Entfernen",
+    "security": "Sicherheit",
+    "securityHint": "Zwei-Faktor-Authentisierung für dein eigenes Konto.",
+    "twoFactor": "Zwei-Faktor verwalten",
+    "backupHint": "Das Voll-Backup enthält alle deine Daten und lässt sich unten wieder einspielen.",
+    "exportBackup": "Voll-Backup (JSON)",
+    "systemBackup": "Systemweites Voll-Backup (JSON)",
+    "systemBackupWarning": "Das systemweite Backup enthält Passwort-Hashes und Zwei-Faktor-Geheimnisse aller Benutzer. Behandle die Datei wie ein Passwort."
   },
   "dashboard": {
     "title": "Übersicht",
@@ -280,5 +293,82 @@
     "undone": "rückgängig gemacht",
     "needFile": "Bitte zuerst eine CSV-Datei wählen.",
     "needFileAccount": "Bitte Konto und Datei wählen."
+  },
+  "password": {
+    "show": "Passwort anzeigen",
+    "hide": "Passwort verbergen",
+    "met": "(erfüllt)",
+    "unmet": "(offen)",
+    "ruleLength": "Mindestens {{n}} Zeichen",
+    "ruleUpper": "Mindestens ein Grossbuchstabe",
+    "ruleLower": "Mindestens ein Kleinbuchstabe",
+    "ruleDigit": "Mindestens eine Ziffer",
+    "ruleSpecial": "Mindestens ein Sonderzeichen"
+  },
+  "twofactor": {
+    "title": "Zwei-Faktor-Authentisierung",
+    "intro": "Zusätzlich zum Passwort ein Einmalcode aus einer Authenticator-App. Wer nur dein Passwort kennt, kommt damit nicht mehr hinein.",
+    "on": "Aktiv",
+    "off": "Nicht eingerichtet",
+    "start": "Einrichten",
+    "scan": "Scanne den Code mit deiner Authenticator-App (z. B. Aegis, 1Password, Google Authenticator).",
+    "qrAlt": "QR-Code zur Einrichtung der Authenticator-App",
+    "manual": "Geht der Scan nicht, gib diesen Schlüssel von Hand ein:",
+    "code": "Code aus der App",
+    "codeHint": "Gib den sechsstelligen Code aus deiner Authenticator-App ein.",
+    "activate": "Aktivieren",
+    "verify": "Bestätigen",
+    "useRecovery": "Wiederherstellungscode verwenden",
+    "useApp": "Doch Code aus der App",
+    "recoveryCode": "Wiederherstellungscode",
+    "recoveryHint": "Gib einen deiner Wiederherstellungscodes ein. Jeder funktioniert nur einmal.",
+    "codesTitle": "Wiederherstellungscodes",
+    "codesHint": "Bewahre diese Codes sicher auf – zum Beispiel ausgedruckt. Sie sind der einzige Weg hinein, wenn dein Gerät verloren geht. Jeder Code funktioniert genau einmal, und angezeigt werden sie nur dieses eine Mal.",
+    "codesSaved": "Habe ich gesichert",
+    "codesLeft": "Noch {{n}} unbenutzte Wiederherstellungscodes.",
+    "copy": "Kopieren",
+    "copied": "In die Zwischenablage kopiert.",
+    "download": "Als Datei sichern",
+    "newCodes": "Neue Codes erzeugen",
+    "newCodesTitle": "Neue Wiederherstellungscodes",
+    "newCodesHint": "Die bisherigen Codes werden dabei ungültig. Zur Bestätigung dein Passwort eingeben.",
+    "disable": "Zwei-Faktor abschalten",
+    "disableTitle": "Zwei-Faktor abschalten",
+    "disableHint": "Danach genügt wieder das Passwort allein. Zur Bestätigung dein Passwort eingeben.",
+    "disabled": "Zwei-Faktor abgeschaltet.",
+    "requiredHint": "Die Richtlinie verlangt Zwei-Faktor. Bis zur Einrichtung bleibt der Rest der Anwendung gesperrt."
+  },
+  "policy": {
+    "title": "Passwortrichtlinie",
+    "hint": "Gilt für alle Benutzer dieser Instanz.",
+    "minLength": "Mindestlänge",
+    "require_upper": "Grossbuchstabe verlangen",
+    "require_lower": "Kleinbuchstabe verlangen",
+    "require_digit": "Ziffer verlangen",
+    "require_special": "Sonderzeichen verlangen",
+    "mfaRequired": "Zwei-Faktor für alle verpflichtend",
+    "mfaHint": "Benutzer ohne zweiten Faktor müssen ihn beim nächsten Anmelden einrichten.",
+    "tightenWarning": "Verschärfung: Benutzer, deren Passwort die neue Richtlinie nicht erfüllt, müssen es beim nächsten Anmelden ändern.",
+    "mfaWarning": "Alle Benutzer ohne Zwei-Faktor werden beim nächsten Anmelden zur Einrichtung geführt – auch du."
+  },
+  "restore": {
+    "title": "Backup zurückladen",
+    "hint": "Wähle eine Backup-Datei. Sie wird zuerst nur geprüft; eingespielt wird erst nach deiner Bestätigung.",
+    "file": "Backup-Datei",
+    "empty": "Die Datei enthält keine Daten.",
+    "scopeUser": "Backup der Daten von „{{name}}“.",
+    "scopeSystem": "Systemweites Backup mit {{n}} Benutzern.",
+    "exportedAt": "Erstellt am {{when}}",
+    "mode": "Vorgehen",
+    "modeReplace": "Ersetzen",
+    "modeMerge": "Ergänzen",
+    "modeReplaceHint": "Vorhandene Daten werden gelöscht und durch das Backup ersetzt. Vorher legt der Server automatisch eine Sicherungskopie der Datenbank an.",
+    "modeMergeHint": "Nichts wird gelöscht. Nur was fehlt, kommt hinzu; Budget, Regeln und Einstellungen bleiben unangetastet, wenn dazu schon etwas vorhanden ist.",
+    "start": "Wiederherstellen",
+    "confirmTitle": "Wirklich wiederherstellen?",
+    "confirmReplace": "Alle deine Konten, Buchungen, Kategorien und Einstellungen werden gelöscht und durch das Backup ersetzt.",
+    "confirmSystem": "Alle Benutzer und deren Daten werden gelöscht und durch das Backup ersetzt. Anschliessend sind alle Sitzungen beendet.",
+    "done": "Wiederherstellung abgeschlossen.",
+    "doneSystem": "Wiederherstellung abgeschlossen. Bitte neu anmelden."
   }
 }