feat: MFA (TOTP) und Self-Service-Profilseite

Benutzer koennen jetzt selbst Zwei-Faktor-Authentifizierung einrichten
und ihr Profil verwalten (Name, E-Mail, Passwort, Profilbild).

Backend:
- Neues MfaModule (src/auth/mfa/): AES-256-GCM-verschluesselte
  TOTP-Secrets (otplib), QR-Code-Erzeugung, kurzlebige Setup-/
  Challenge-JWTs fuer den 2-Schritt-Login-Flow
- Neues ProfileModule (src/profile/): PATCH /profile,
  POST /profile/password, POST/DELETE/GET /profile/avatar,
  POST /profile/mfa/enroll(/confirm), POST /profile/mfa/disable -
  alle self-scoped ueber actor.id, ohne @RequirePermission (siehe
  ALLOWLIST in authorization-coverage.e2e-spec.ts)
- AuthService.login() zweistufig: bei aktivem MFA erst
  { mfaRequired, mfaToken } statt Tokens, neuer Endpunkt
  POST /auth/mfa/verify schliesst den Flow ab
- Admin-Recovery: POST /users/:id/mfa/reset (users:update) fuer
  verlorene MFA-Geraete, da es keinen E-Mail-Reset-Flow gibt

Frontend:
- Login-Seite mit zweitem Schritt fuer den TOTP-Code
- Neue Profilseite (/profile, ausserhalb des admin-only
  Settings-Bereichs): Profilbild, Name/E-Mail, Passwort, MFA-Ein-/
  Ausrichtung mit QR-Code-Dialog
- Header zeigt jetzt Avatar mit Dropdown (Profil/Abmelden) statt
  nur E-Mail-Text
- Admin-Users-Tabelle zeigt MFA-Status + Reset-Button

Haertung nach Security-Review (Backend/Frontend-Diff, kein CRITICAL,
mehrere MEDIUM behoben):
- Access-Token wird bei Passwortwechsel sofort ungueltig
  (User.passwordChangedAt + JWT-iat-Vergleich in
  PermissionResolverService.isTokenValid, vorher isUserActive) statt
  erst nach bis zu 15 Minuten
- E-Mail-Aenderung verlangt jetzt aktuelles Passwort
- POST /profile/password und /profile/mfa/disable haben jetzt das
  gleiche strikte Throttling wie Login (SENSITIVE_ACTION_THROTTLE)
- Kein stiller leerer Verschluesselungs-Key-Fallback mehr (wirft
  jetzt explizit)

Bewusst zurueckgestellt (dokumentiert, kein aktiver Exploit-Pfad):
dedizierter Verschluesselungs-Key fuer MFA-Secrets statt
JWT_ACCESS_SECRET-Ableitung, dedizierte users:mfa-reset-Permission
statt users:update, separate JWT-Secrets pro Token-Zweck.

Verifiziert: tsc/eslint clean, 297/297 Backend- + 31/31
Frontend-Unit-Tests, Build clean auf beiden Projekten. e2e weiterhin
durch bekanntes WSL2/Postgres-Problem blockiert. Unabhaengiges
Security- und Code-Quality-Review durchgefuehrt (0 CRITICAL, 0 HIGH).

ApiCore-Backend/src/auth/permissions/permission-resolver.service.ts

@@ -4,6 +4,7 @@ import { PermissionKey } from './permission-catalog';
 
 interface CacheEntry {
   isActive: boolean;
+  passwordChangedAt: Date | null;
   permissions: ReadonlySet<string>;
   expiresAt: number;
 }
@@ -16,13 +17,14 @@ const CACHE_TTL_MS = 30_000;
  * role's grants takes effect without forcing a re-login), with a short TTL
  * cache to keep that from becoming a query-per-request cost. Call
  * invalidateUser/invalidateAll after any write to Role, Permission,
- * RolePermission, or User.roleId so the change is visible immediately
- * instead of waiting out the cache window.
+ * RolePermission, User.roleId, or User.passwordChangedAt so the change is
+ * visible immediately instead of waiting out the cache window.
  *
- * isUserActive shares the same cached entry: JwtAuthGuard calls it on every
+ * isTokenValid shares the same cached entry: JwtAuthGuard calls it on every
  * authenticated request (including routes with no @RequirePermission) so a
  * deactivated user's still-valid access token stops working within the
- * cache TTL instead of staying usable until the token expires.
+ * cache TTL instead of staying usable until the token expires, and so does
+ * a token issued before the user's last password change.
  */
 @Injectable()
 export class PermissionResolverService {
@@ -35,9 +37,18 @@ export class PermissionResolverService {
     return entry.permissions;
   }
 
-  async isUserActive(userId: string): Promise<boolean> {
+  async isTokenValid(
+    userId: string,
+    tokenIssuedAtSeconds: number,
+  ): Promise<boolean> {
     const entry = await this.getEntry(userId);
-    return entry.isActive;
+    if (!entry.isActive) {
+      return false;
+    }
+    if (!entry.passwordChangedAt) {
+      return true;
+    }
+    return tokenIssuedAtSeconds * 1000 >= entry.passwordChangedAt.getTime();
   }
 
   async hasAny(
@@ -74,6 +85,7 @@ export class PermissionResolverService {
       where: { id: userId },
       select: {
         isActive: true,
+        passwordChangedAt: true,
         role: {
           select: {
             status: true,
@@ -92,6 +104,7 @@ export class PermissionResolverService {
       : new Set<string>();
     return {
       isActive: isEligible,
+      passwordChangedAt: user?.passwordChangedAt ?? null,
       permissions,
       expiresAt: Date.now() + CACHE_TTL_MS,
     };