TP49 abgenommen: fremder GitHub-Account wird abgewiesen

Verhaltensabnahme durch echten Login (nicht nur API-Read): Christophs zweiter
GitHub-Account wird abgewiesen, eigener Zugang und Geli funktionieren, uebrige
Auth-Wege wie erwartet. email AND github trennt eigenes von fremdem Konto,
ohne jemanden auszusperren.

Der Fix war bis dahin nur gesetzt und zurueckgelesen — die API sagt nichts
darueber, ob die Regel greift. Mit diesem Test ist sie verhaltensbestaetigt.

TP49 geschlossen, Gitea #76 closed / status:done, kein offener Punkt.
Der Umweg (Fehlschluss -> Schliessung -> Wiedereroeffnung -> Fix -> Abnahme)
bleibt als Aktenhistorie in allen drei Dateien stehen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/tp49-cf-access-startauftrag.md

@@ -72,4 +72,7 @@ Ursprungsfund bestätigt und der Fix nötig.
 - [x] Policy über beide Endpunkte zurückgelesen — `require` trägt github, `include` nicht mehr
 - [x] Sweep: keine weiteren `login_method` in `include` außer den bekannten
 - [x] Scope: reusable Policy nur an diese eine App gebunden (kein Kollateral)
-- [ ] **Offen:** Bestätigungstest, dass ein fremder GitHub-Account jetzt **abgewiesen** wird
+- [x] **Verhaltensabnahme (2026-10-06, echter Login):** fremder GitHub-Account → **abgewiesen**;
+      eigener Zugang + Geli → funktionieren; alle übrigen Auth-Pfade wie erwartet
+
+**Status: abgeschlossen.** Gitea #76 `closed` / `status:done`. Kein offener Punkt.