AP0 Schritte 0.4 und 0.6: Antworten vom 05.10. und Claude Design 0.3 eingearbeitet

- Fragenliste: erste Antworten von BauIn und ITM eingetragen, übrige Fragen auf „gestellt“
- Anmeldung mit eigenem Passwort, 2FA später Pflicht; keine E-Mails; Mehrfach-Upload ohne ZIP
- Nur Produktionsschlüssel: Tests rufen die echte API nie auf
- Stellungnahme BÜW und Österreich in Phase 2; „Vor dem Livegang zu klären“ in AP11
- Claude Design Stand 0.3 abgeglichen (AP13), Prüfmaske v4 in AP6
- Gitea von ITM als Push-Mirror eingetragen

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/tech-stack.md

@@ -23,14 +23,14 @@ und benennt, wo KI-BauIN bewusst abweicht und warum.
 | Blade | Templates, Layouts, eigene Komponenten | gleich |
 | Tailwind CSS 4 | Gestaltung | gleich |
 | TallStackUI 4 (Präfix `ts-`) | UI-Komponenten | Version abweichend (Referenz: 3) |
-| Laravel Fortify | Login, Passwort-Reset, E-Mail-Bestätigung, 2FA, Passkeys | ergänzt |
+| Laravel Fortify | Login, 2FA, Passkeys; ohne E-Mail-Funktionen (keine E-Mails laut BauIn) | ergänzt |
 | Mehrsprachigkeit | Deutsch (Standard) und Englisch, Sprache je Benutzer; Übersetzungen über Laravel Lang (nur Entwicklung), eigene Texte in `lang/project/` | ergänzt |
 | Vite 8, Node.js/npm | Asset-Build | gleich |
 | Composer | Abhängigkeiten mit Lockfile | gleich |
 | GAEB-Import | LVs und Nachtrags-LVs aus GAEB DA XML (X86); D86 nur als Rückfall | ergänzt |
 | pdf.js (lokal ausgeliefert, kein CDN) | Anzeige der LV- und Nachtrags-PDFs mit Sprung zur Fundstelle | ergänzt |
 | PhpSpreadsheet | Ergebnisliste als Excel; Option: Bewertungsmatrix in der Vorlage der DB | geplant |
-| PHPWord | Option: Stellungnahme aus Word-Vorlage (nur .docx) | Option |
+| PHPWord | Stellungnahme aus Word-Vorlage (nur .docx) | Phase 2 |
 | Dompdf | PDF-Erzeugung | vorerst nicht nötig |
 
 Aufbau als modularer Laravel-Monolith: Livewire-Komponenten für die Interaktion, Services für
@@ -59,7 +59,7 @@ Redis wird nicht eingesetzt: Warteschlange, Cache und Sessions laufen über die
 |---|---|---|
 | Anmeldung | Fortify, serverseitige Sitzungen; keine Selbstregistrierung | gleich |
 | Rollen und Rechte | Spatie laravel-permission | gleich |
-| 2FA | TOTP über Fortify (intern Google2FA), Wiederherstellungscodes | gleich; Pflicht für alle noch offen |
+| 2FA | TOTP über Fortify (intern Google2FA), Wiederherstellungscodes | gleich; zunächst freiwillig, später Pflicht per Schalter |
 | Passkeys | WebAuthn über Fortify | ergänzt |
 | API-Authentifizierung | – | Sanctum vorerst nicht nötig (keine eigene API) |
 | Verschlüsselung sensibler Werte | Verschlüsselte Casts, u. a. für Zugangsdaten der KI-API | gleich |
@@ -83,7 +83,7 @@ oder Prompts in technischen Logs.
 | Tests | Pest 4 auf PHPUnit 12; Tests im PHPUnit-Klassenstil | gleich (Runner ergänzt) |
 | Code-Stil | Laravel Pint | gleich |
 | Statische Analyse | PHPStan/Larastan Stufe 7 | ergänzt |
-| Versionsverwaltung | Git, Gitea (lokal führend, Gitea von ITM als Push-Mirror) | gleich |
+| Versionsverwaltung | Git, Gitea (lokal führend; Push-Mirror nach `https://gitea.itm-technologies.de/ChristophGraf/BauIN`) | gleich |
 
 ## 5. Betrieb (Produktion, geplant)
 
@@ -95,8 +95,9 @@ PHP, MySQL und Meilisearch sind in Entwicklung und Produktion gleich.
 
 Ergänzt bzw. anders als in der Referenz:
 
-- **Externe Alarmierung von Anfang an** (z. B. Mail), wenn Worker oder Scheduler ausfallen,
-  Jobs fehlschlagen oder die KI-API ITM nicht erreichbar ist.
+- **Externe Alarmierung von Anfang an**, wenn Worker oder Scheduler ausfallen, Jobs fehlschlagen
+  oder die KI-API ITM nicht erreichbar ist. Die Anwendung verschickt keine E-Mails; der Weg wird
+  mit ITM abgestimmt (AP11, E11.3).
 - **Backups verschlüsselt**, bevor sie den Server verlassen (z. B. restic). Speicherort,
   Aufbewahrungsdauer und Zuständigkeit sind noch offen. Gesichert werden Datenbank, private Uploads und
   Konfiguration; der Meilisearch-Index nicht, er wird aus MySQL neu aufgebaut.
@@ -115,13 +116,14 @@ Ergänzt bzw. anders als in der Referenz:
 
 ## 7. Offene Punkte
 
-- Ist 2FA für alle Benutzer Pflicht?
-- Verlangen BauIn oder ITM eine Festplattenverschlüsselung auf den Servern bei ITM?
-- Backups: Speicherort, Aufbewahrungsdauer und wer dafür zuständig ist.
+Vor dem Livegang zu klären (Liste in `docs/plaene/AP11-betrieb.md`): Zugriff, Adresse, Backups,
+Datenschutz und Informationssicherheit, Einschalten der 2FA-Pflicht. Server, Verschlüsselung und
+Datenverarbeitung bei API-Werk sind Sache von ITM.
+
 - Weitere Sprachen über Deutsch und Englisch hinaus (technisch vorbereitet, fachlich nicht angefragt).
-- Datenschutz der KI-API: Standort von API-Werk und KI-Server, Auftragsverarbeitung, Aufbewahrung
-  hochgeladener Dokumente und Ergebnisse.
-- Anmeldung mit eigenem Passwort und 2FA oder mit dem Microsoft-Konto von BauIn.
+
+Geklärt am 05.10.: eigenes Passwort statt Microsoft-Konto, 2FA zunächst freiwillig und später
+Pflicht, keine E-Mails, nur Schlüssel für die Produktion.
 
 ## Architekturübersicht