Hosting-Backoffice/reviews/chatgpt-consolidation-20260518-045303.md

1. Zusammenfassung

Claude benennt mehrere valide Architektur-Risiken. Übernommen werden vor allem die Punkte, die direkt sicherheits-, compliance- oder konsistenzrelevant sind:

• Tenant-Isolation muss technisch erzwungen werden.
• Secrets dürfen nicht direkt in Fachmodellen gespeichert werden.
• Superadmin-Zugriffe brauchen Schutzmechanismen.
• Kritische Statuswechsel brauchen State Machines und Historisierung.
• Retry/DLQ-Verhalten muss begrenzt und beobachtbar sein.
• Domänensprache und Modulgrenzen müssen vereinheitlicht werden.

Nicht übernommen wird die Empfehlung „zurück ans Reißbrett“. Stattdessen werden konkrete Projektdateien ergänzt/geändert.

---

2. Übernommene Punkte

2.1 Tenant-Isolation

Übernehmen:

• PostgreSQL Row Level Security für tenant-bezogene Tabellen.
• Tenant-Kontext zentral auf Request-/Job-Ebene.
• Automatischer Model-Scope zusätzlich zu RLS.
• Tests gegen Cross-Tenant-Zugriffe.

2.2 Secrets-Management

Übernehmen:

• Keine API-Keys, Passwörter oder Auth-Codes direkt in Business-Tabellen.
• Speicherung nur als Secret-Referenz.
• Verschlüsselung at-rest über Secret-Backend.
• Rotation und Zugriffsaudit dokumentieren.

2.3 Audit-Log

Übernehmen:

• Hash-Chain allein reicht nicht als Revisionssicherheit.
• Audit-Log als append-only behandeln.
• Export/Archivierung für Compliance ergänzen.
• Keine Aussage „GoBD-konform“ ohne Verfahrensdokumentation.

2.4 Domain-Management

Übernehmen:

• Domainmodell um produktionsrelevante Attribute erweitern.
• Auth-Codes nur als Secret-Referenz.
• Status für Transfer-Lock, DNSSEC, Whois-Privacy und Expiry ergänzen.

2.5 Kritische Flows

Übernehmen:

• Vertragsstatus, Zahlungsstatus, Kündigungen und Domain-Transfers nicht als freies CRUD.
• State Machines einführen.
• Statusübergänge historisieren.

2.6 Adapter-Resilienz

Übernehmen:

• Circuit Breaker ergänzen.
• Health Checks je Adapter.
• Retry-Limits, Backoff-Caps und DLQ-Verhalten definieren.

2.7 Domänensprache

Übernehmen:

• Einheitliche Begriffe festlegen.
• tenant_id, organisation_id, customer_id, kunde nicht vermischen.
• Fachsprache in Datenmodell, Code und API vereinheitlichen.

2.8 Versionierung von Produkten/Verträgen

Übernehmen:

• Preise, Produktbedingungen und Vertragsstände versionieren.
• Rechnungen müssen reproduzierbar bleiben.

2.9 Superadmin

Übernehmen:

• Superadmin-Zugriffe begrenzen.
• Break-Glass-Prozess dokumentieren.
• Kritische Aktionen auditieren.
• Optional 4-Augen-Freigabe für besonders kritische Aktionen.

---

3. Abgelehnte oder verschobene Punkte

Abgelehnt

• „Zurück ans Reißbrett“
  Nicht notwendig. Die Kritikpunkte werden als konkrete Architektur- und Implementierungsänderungen eingearbeitet.

• Vollständiges Event Sourcing für alle kritischen Flows sofort
  Zu groß für den nächsten Schritt. Stattdessen: State Machines, Statushistorien, Audit-Events.

• Vollständige Microservice-Aufteilung nach Bounded Contexts
  Wird nicht sofort umgesetzt. Ziel bleibt zunächst ein modularer Monolith mit klaren Modulgrenzen.

Verschoben

• Externer Timestamp-Service für Audit-Logs
  Später prüfen. Kurzfristig wichtiger: append-only Audit, Export, Archivierung, Berechtigungsschutz.

• Vollständiges DNS-Record-Management
  Nur umsetzen, wenn das Backoffice tatsächlich DNS-Zonen verwalten soll. Kurzfristig werden Domain-Statusfelder ergänzt.

• Formale GoBD-Zertifizierung
  Verschoben. Zuerst technische Grundlagen und Verfahrensdokumentation vorbereiten.

---

4. Neue/geänderte Dateien

Architektur / ADRs

Neu:

• docs/adr/0020-tenant-isolation-rls.md
• docs/adr/0021-secrets-management.md
• docs/adr/0022-audit-log-and-archiving.md
• docs/adr/0023-state-machines-for-critical-flows.md
• docs/adr/0024-adapter-resilience-circuit-breaker.md
• docs/adr/0025-domain-language.md
• docs/adr/0026-superadmin-break-glass.md
• docs/adr/0027-product-contract-versioning.md

Ändern:

• docs/adr/0017-adapter-resilience.md

---

Security / Tenancy

Neu:

• app/Support/Tenancy/TenantContext.php
• app/Http/Middleware/ResolveTenantContext.php
• app/Models/Concerns/BelongsToTenant.php
• app/Jobs/Middleware/ResolveTenantForJob.php
• tests/Feature/Security/TenantIsolationTest.php
• tests/Feature/Security/TenantContextRequiredTest.php

Neu/ändern:

• database/migrations/XXXX_enable_rls_for_tenant_tables.sql
• database/migrations/XXXX_add_tenant_id_indexes.sql

---

Secrets

Neu:

• config/secrets.php
• app/Services/Secrets/SecretStore.php
• app/Services/Secrets/VaultSecretStore.php
• app/Services/Secrets/DatabaseEncryptedSecretStore.php
• app/Services/Secrets/SecretReference.php
• tests/Feature/Security/SecretStorageTest.php
• docs/security/secrets-management.md

Ändern:

• app/Models/RegistrarAccount.php
• app/Models/Domain.php

Erwartete Änderung:

• Keine Spalten wie api_key, password, auth_code.
• Stattdessen Spalten wie secret_reference, auth_code_secret_reference.

---

Audit / Compliance

Neu:

• app/Models/AuditLog.php
• app/Services/Audit/AuditLogger.php
• app/Services/Audit/AuditArchiveExporter.php
• database/migrations/XXXX_create_audit_logs_table.php
• database/migrations/XXXX_restrict_audit_log_mutations.sql
• tests/Feature/Audit/AuditLogAppendOnlyTest.php
• docs/compliance/audit-log.md
• docs/compliance/gobd-verfahrensdokumentation-template.md

---

Domain-Management

Ändern:

• app/Models/Domain.php
• database/migrations/XXXX_extend_domains_table.php

Ergänzen:

• dnssec_status
• transfer_lock_enabled
• whois_privacy_enabled
• expiry_date
• expiry_notification_status
• auth_code_secret_reference
• registrar_status
• last_registry_sync_at

Neu:

• app/Enums/Domain/DnssecStatus.php
• app/Enums/Domain/RegistrarStatus.php
• app/Enums/Domain/ExpiryNotificationStatus.php

---

State Machines / Statushistorie

Neu:

• app/StateMachines/ContractStateMachine.php
• app/StateMachines/PaymentStateMachine.php
• app/StateMachines/CancellationStateMachine.php
• app/StateMachines/DomainTransferStateMachine.php

Neu:

• database/migrations/XXXX_create_contract_status_history_table.php
• database/migrations/XXXX_create_payment_status_history_table.php
• database/migrations/XXXX_create_domain_transfer_status_history_table.php

Neu:

• tests/Feature/StateMachines/ContractStateMachineTest.php
• tests/Feature/StateMachines/PaymentStateMachineTest.php
• tests/Feature/StateMachines/DomainTransferStateMachineTest.php

---

Adapter / Retry / DLQ

Neu:

• config/adapters.php
• app/Support/Adapters/CircuitBreaker.php
• app/Support/Adapters/AdapterHealthCheck.php
• app/Support/Adapters/RetryPolicy.php
• app/Support/Adapters/DeadLetterHandler.php
• app/Console/Commands/CheckAdapterHealthCommand.php
• tests/Feature/Adapters/CircuitBreakerTest.php
• tests/Feature/Queue/DeadLetterHandlingTest.php

Ändern:

• docs/adr/0017-adapter-resilience.md

Ergänzen:

• Max Retry Count
• Exponential Backoff Cap
• DLQ nach endgültigem Fehlschlag
• Alerting-Schwelle
• Poison-Message-Handling

---

Domänensprache / Modulgrenzen

Neu:

• docs/domain/glossary.md
• docs/domain/module-boundaries.md

Ändern:

• docs/api/openapi.yaml
• betroffene Models, DTOs, Requests und Resources

Festlegung:

• Einheitlich verwenden:
  • tenant für Mandant/Systemgrenze
  • customer für Kunde
  • contract für Vertrag
  • product für Produkt
  • invoice für Rechnung

---

Produkt- und Vertragsversionierung

Neu:

• app/Models/ProductVersion.php
• app/Models/ContractVersion.php
• database/migrations/XXXX_create_product_versions_table.php
• database/migrations/XXXX_create_contract_versions_table.php
• tests/Feature/Billing/ProductVersioningTest.php
• tests/Feature/Billing/InvoiceReproducibilityTest.php

Ändern:

• app/Models/Product.php
• app/Models/Contract.php
• app/Models/Invoice.php

---

Superadmin / Break-Glass

Neu:

• app/Policies/SuperadminPolicy.php
• app/Services/Security/BreakGlassAccessService.php
• app/Models/PrivilegedAccessGrant.php
• database/migrations/XXXX_create_privileged_access_grants_table.php
• tests/Feature/Security/BreakGlassAccessTest.php
• docs/security/break-glass.md

Ergänzen:

• zeitlich begrenzte Rechte
• Begründungspflicht
• Audit-Log für jede privilegierte Aktion
• optional 4-Augen-Freigabe für definierte Aktionen

---

5. Konkrete nächste Schritte

1. docs/adr/0020-tenant-isolation-rls.md erstellen und RLS als verbindliche Entscheidung festhalten.
2. Tenant-Kontext mit TenantContext, Middleware und Model-Concern implementieren.
3. RLS-Migration für alle tenant-bezogenen Tabellen ergänzen.
4. Cross-Tenant-Sicherheitstests schreiben und in CI verpflichtend machen.
5. docs/adr/0021-secrets-management.md erstellen.
6. Registrar- und Domain-Secrets aus Fachmodellen entfernen und durch Secret-Referenzen ersetzen.
7. Adapter-ADR 0017 um Circuit Breaker, Health Checks, Retry-Limits und DLQ-Regeln erweitern.
8. State Machines für Vertrag, Zahlung, Kündigung und Domain-Transfer definieren.
9. Produkt- und Vertragsversionierung als Tabellen und Tests ergänzen.
10. docs/domain/glossary.md erstellen und Begriffe im Code vereinheitlichen.
11. Break-Glass-Zugriffe für Superadmin modellieren und auditieren.
12. Audit-Log append-only absichern und Archivierungsdokumentation ergänzen.