TP49 abgenommen: fremder GitHub-Account wird abgewiesen

Verhaltensabnahme durch echten Login (nicht nur API-Read): Christophs zweiter
GitHub-Account wird abgewiesen, eigener Zugang und Geli funktionieren, uebrige
Auth-Wege wie erwartet. email AND github trennt eigenes von fremdem Konto,
ohne jemanden auszusperren.

Der Fix war bis dahin nur gesetzt und zurueckgelesen — die API sagt nichts
darueber, ob die Regel greift. Mit diesem Test ist sie verhaltensbestaetigt.

TP49 geschlossen, Gitea #76 closed / status:done, kein offener Punkt.
Der Umweg (Fehlschluss -> Schliessung -> Wiedereroeffnung -> Fix -> Abnahme)
bleibt als Aktenhistorie in allen drei Dateien stehen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/teilprojekte.md

@@ -2667,5 +2667,18 @@ Details in Memory `feedback_no_guessing`.
 ⚠️ `420.teilzeitladen.xyz` gehört zum Projekt **blaueblüten** — Änderung erfolgte mit
 Christophs ausdrücklicher Freigabe, das Nachbar-Repo wurde **nicht** angefasst.
 
-**→ Abgeschlossen 2026-10-06: Fix gesetzt und zurückgelesen. Offen bleibt nur der
-Bestätigungstest, dass ein fremder GitHub-Account jetzt abgewiesen wird.**
+#### Abnahme (2026-10-06, durch echten Login — nicht nur API-Read)
+
+Christoph hat nach dem Fix **alle Auth-Pfade neu getestet**:
+
+- ✅ **Fremder GitHub-Account (2. Konto) → wird abgewiesen.** Der Fix greift real, nicht nur in der API.
+- ✅ **Eigener Zugang (GitHub, primäre Adresse `christoph@emsenhuber.com`) → funktioniert.**
+- ✅ **Geli → funktioniert** (unverändert über Einmalcode/IP; ihr `require` blieb leer).
+- ✅ **Alle übrigen Auth-Wege verhalten sich wie erwartet.**
+
+Damit ist `email AND github` **verhaltensbestätigt**: es trennt das eigene Konto vom fremden,
+ohne jemanden auszusperren. Kein Regress an den Nachbar-Policies (`geli`, `terpene-svc`) und
+kein Kollateral am internen Wildcard.
+
+**→ Abgeschlossen 2026-10-06: Fix gesetzt, zurückgelesen und per Login verifiziert.
+Gitea #76 `closed` / `status:done`.**

docs/tp49-cf-access-startauftrag.md

@@ -72,4 +72,7 @@ Ursprungsfund bestätigt und der Fix nötig.
 - [x] Policy über beide Endpunkte zurückgelesen — `require` trägt github, `include` nicht mehr
 - [x] Sweep: keine weiteren `login_method` in `include` außer den bekannten
 - [x] Scope: reusable Policy nur an diese eine App gebunden (kein Kollateral)
-- [ ] **Offen:** Bestätigungstest, dass ein fremder GitHub-Account jetzt **abgewiesen** wird
+- [x] **Verhaltensabnahme (2026-10-06, echter Login):** fremder GitHub-Account → **abgewiesen**;
+      eigener Zugang + Geli → funktionieren; alle übrigen Auth-Pfade wie erwartet
+
+**Status: abgeschlossen.** Gitea #76 `closed` / `status:done`. Kein offener Punkt.