diff --git a/backend/src/services/auth.service.ts b/backend/src/services/auth.service.ts
index 9f051d0b..cbb81382 100644
--- a/backend/src/services/auth.service.ts
+++ b/backend/src/services/auth.service.ts
@@ -441,14 +441,20 @@ export async function getCustomerPortalPassword(customerId: number): Promise<Por
     return { status: 'desync' };
   }
 
+  // Ohne Login-Hash ist ein Login gar nicht möglich – ein gespeichertes
+  // Klartext-Passwort wäre irreführend (Support würde etwas vorlesen, das
+  // nirgends funktioniert). Als inkonsistent behandeln (Pentest R143).
+  if (!customer.portalPasswordHash) {
+    console.warn(`[getCustomerPortalPassword] Desync: verschlüsseltes Passwort ohne Login-Hash (Kunde #${customerId})`);
+    return { status: 'desync' };
+  }
+
   // Muss zum Login-Hash passen – sonst ist der gespeicherte Klartext veraltet
   // und würde beim Login fehlschlagen.
-  if (customer.portalPasswordHash) {
-    const matches = await bcrypt.compare(decrypted, customer.portalPasswordHash);
-    if (!matches) {
-      console.warn(`[getCustomerPortalPassword] Desync: gespeichertes Passwort passt nicht zum Login-Hash (Kunde #${customerId})`);
-      return { status: 'desync' };
-    }
+  const matches = await bcrypt.compare(decrypted, customer.portalPasswordHash);
+  if (!matches) {
+    console.warn(`[getCustomerPortalPassword] Desync: gespeichertes Passwort passt nicht zum Login-Hash (Kunde #${customerId})`);
+    return { status: 'desync' };
   }
 
   return { status: 'ok', password: decrypted };