Security-Hardening Runde 10: Security-Monitoring + Alerting

Defense-in-Depth für alles, was in den ersten 9 Runden nicht durch Code
verhindert wurde: zumindest gesehen + alarmiert werden.

📊 SecurityEvent-Tabelle (Prisma)
- Type/Severity/IP/User/Endpoint + Indexen für Filter+Threshold-Detection
- Trennt sich vom AuditLog: AuditLog ist forensisch + hash-gekettet,
  SecurityEvent ist optimiert für Realtime-Alerting + Aggregation.

🪝 Hooks an kritischen Stellen
- Login (Success/Failed) – auth.controller
- Logout, Password-Reset (Request + Confirm) – auth.controller
- Rate-Limit-Hit – middleware/rateLimit
- IDOR-403 – utils/accessControl (canAccessCustomer / canAccessContract)
- SSRF-Block – emailProvider.controller (test-connection + test-mail-access)
- JWT-Reject (alg=none, expired, manipuliert) – middleware/auth

🚨 Threshold-Detection + Alerting (securityAlert.service.ts)
- Cron jede Minute: prüft Brute-Force-Patterns je IP
  - 10× LOGIN_FAILED in 60 min  → CRITICAL Brute-Force-Verdacht
  -  5× ACCESS_DENIED in 5 min  → CRITICAL IDOR-Probing-Verdacht
  -  3× SSRF_BLOCKED in 60 min  → CRITICAL SSRF-Probing
  -  3× TOKEN_REJECTED HIGH in 5 min → CRITICAL JWT-Manipulation
- CRITICAL-Events: Sofort-Alert per E-Mail (debounced)
- Cron stündlich: Digest mit HIGH+MEDIUM-Events (wenn aktiviert)
- Sofort-Alert + Digest laufen über System-E-Mail-Provider
  (gleicher Pfad wie Geburtstagsgrüße, Passwort-Reset)

🖥 Frontend: Settings → "Sicherheits-Monitoring"
- Alert-E-Mail-Adresse + Digest-Toggle
- Test-Alert-Button + Digest-jetzt-Button
- Stats-Cards pro Severity (CRITICAL/HIGH/MEDIUM/LOW/INFO)
- Filter (Type/Severity/Search/IP) + Pagination
- Auto-Refresh alle 30 s
- Verlinkt aus Settings-Übersicht (settings:read Permission)

🧪 Live-verifiziert
- Login-Fehlversuch → LOGIN_FAILED Event
- Portal probt 4× fremde Customer-IDs → 4× ACCESS_DENIED
- SSRF-Probe (169.254.169.254) → SSRF_BLOCKED Event
- 12× LOGIN_FAILED simuliert → Cron erzeugt CRITICAL nach ≤60s
- CRITICAL-Sofort-Alert binnen 30s zugestellt
- Test-Alert-Button: E-Mail zugestellt
- Hourly-Digest mit 5 Events: E-Mail mit Tabelle zugestellt

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

backend/src/utils/accessControl.ts

@@ -11,6 +11,26 @@ import { Response } from 'express';
 import prisma from '../lib/prisma.js';
 import * as authorizationService from '../services/authorization.service.js';
 import { AuthRequest } from '../types/index.js';
+import { emit as emitSecurityEvent, contextFromRequest } from '../services/securityMonitor.service.js';
+
+/**
+ * Wird intern aufgerufen, wenn ein canAccess*-Check 403 zurückgibt.
+ * Schreibt ein SecurityEvent für Monitoring + spätere Threshold-Detection.
+ */
+function emitAccessDenied(req: AuthRequest, label: string, targetId: number | string): void {
+  const ctx = contextFromRequest(req);
+  emitSecurityEvent({
+    type: 'ACCESS_DENIED',
+    severity: 'MEDIUM',
+    message: `Zugriff verweigert: ${label} #${targetId}`,
+    ipAddress: ctx.ipAddress,
+    userId: ctx.userId,
+    customerId: ctx.customerId,
+    userEmail: ctx.userEmail,
+    endpoint: ctx.endpoint,
+    details: { resource: label, targetId },
+  });
+}
 
 /**
  * Prüft ob der authentifizierte User auf einen bestimmten Vertrag zugreifen darf.
@@ -54,6 +74,7 @@ export async function canAccessContract(
   // Fremde Verträge nur mit aktiver Vollmacht
   const representedIds: number[] = (req.user as any).representedCustomerIds || [];
   if (!representedIds.includes(contract.customerId)) {
+    emitAccessDenied(req, 'Contract', contractId);
     res.status(403).json({ success: false, error: 'Kein Zugriff auf diesen Vertrag' });
     return false;
   }
@@ -63,6 +84,7 @@ export async function canAccessContract(
     req.user.customerId,
   );
   if (!hasAuth) {
+    emitAccessDenied(req, 'Contract (Vollmacht fehlt)', contractId);
     res.status(403).json({ success: false, error: 'Vollmacht erforderlich' });
     return false;
   }
@@ -93,12 +115,14 @@ export async function canAccessCustomer(
 
   const representedIds: number[] = (req.user as any).representedCustomerIds || [];
   if (!representedIds.includes(customerId)) {
+    emitAccessDenied(req, 'Customer', customerId);
     res.status(403).json({ success: false, error: 'Kein Zugriff auf diese Kundendaten' });
     return false;
   }
 
   const hasAuth = await authorizationService.hasAuthorization(customerId, req.user.customerId);
   if (!hasAuth) {
+    emitAccessDenied(req, 'Customer (Vollmacht fehlt)', customerId);
     res.status(403).json({ success: false, error: 'Vollmacht erforderlich' });
     return false;
   }