milestone 1 progress - smart-village-solutions/sva-studio GitHub Wiki

Milestone 1: Fortschrittsanalyse

Rollenrechte & MVP für News-Verwaltung

Aktuelles Datum: 4. Februar 2026 Status: 🟡 IN PROGRESS (30% - Security-Phase abgeschlossen)

📊 Fortschrittsübersicht

✅ Abgeschlossen: Authentifizierung & Session-Sicherheit (6/10 Kategorien)

1. Authentifizierung & Sicherheit ✅

Fortschritt: 85% (17/20)

  • ✅ Zentraler Anmeldedienst: Keycloak mit OIDC-Integration
  • ✅ Single-Sign-On: OAuth 2.0 Callback-Flow implementiert
  • ✅ Session-Management: Redis-basierte Session-Verwaltung
  • ✅ Token-Sicherheit:
    • AES-256-GCM Verschlüsselung für Tokens at-rest
    • JWT-Tokens vom Keycloak mit Signatur
    • Token-Refresh-Flow implementiert
  • ✅ Transportverschlüsselung:
    • TLS 1.3 für Redis (Port 6380)
    • HTTPS für alle Auth-APIs
  • ✅ Zugriffskontrolle:
    • Redis ACL mit Minimal-Permissions
    • Session-Isolation pro User
  • ✅ Logout-Flow: Session-Revocation + Cookie-Deletion
  • ✅ Automatischer Logout: TTL-basiert (7 Tage, konfigurierbar)
  • ❌ Zwei-Faktor-Authentifizierung (2FA): Noch nicht implementiert
  • ❌ Passkeys/WebAuthn: Noch nicht implementiert
  • ❌ Brute-Force-Schutz: Noch nicht implementiert
  • ❌ Sicherheits-Alerts: Noch nicht implementiert
  • ❌ SIEM-Integration: Noch nicht implementiert
  • ❌ Passwort-Richtlinien: Server-seitig in Keycloak, nicht in App

Status: STAGING-READY ✅

⏳ In Progress: Betrieb & Monitoring (2/10 Kategorien)

Fortschritt: 100% (4/4 dokumentiert)

2. Monitoring & Alerting ✅

Fortschritt: 100% (Dokumentation complete)

  • ✅ Health-Check-Endpoint (/health/redis) Design dokumentiert
  • ✅ Prometheus-Metriken (16 Metriken definiert)
  • ✅ Grafana-Dashboards (2 Dashboards designed)
  • ✅ Alert-Regeln (7 kritische + High-Priority Alerts)
  • ⏳ TODO: Implementation in Code
  • ⏳ TODO: Staging-Deployment konfigurieren
  • ⏳ TODO: Monitoring-Stack (Prometheus, Grafana) aufsetzen

Status: DOKUMENTIERT, NICHT IMPLEMENTIERT

3. Backup & Disaster Recovery ✅

Fortschritt: 100% (Runbook complete)

  • ✅ RDB-Backup-Strategie dokumentiert
  • ✅ AOF-Persistence-Strategie dokumentiert
  • ✅ Restore-Szenarien (3 Szenarien dokumentiert)
  • ✅ HA-Setup (Redis Sentinel) designed
  • ✅ Cross-Region-Backup designed
  • ✅ Disaster-Recovery-Tests documented
  • ✅ Automation (Kubernetes CronJob) skizziert
  • ⏳ TODO: Implementation
  • ⏳ TODO: Production-Konfiguration

Status: DOKUMENTIERT, NICHT IMPLEMENTIERT

⏳ Noch Nicht Gestartet: Rollen & Rechte-System (6/10 Kategorien)

Fortschritt: 0% – CRITICAL PATH ITEM

4. Rollen- & Rechtemanagement ❌

Fortschritt: 0/10

Was noch zu tun ist:

  • Rollenmodell implementieren (Admin, Redakteur, Prüfer, Designer)
  • Granulare Rechte-System (Modul-, Inhalts-, Feld-, Aktions-Ebene)
  • Rechte-Vererbung über Organisationsebenen
  • Zugriffsbindung (Content zu Rollen/Personen)
  • Review-Workflow für Änderungsanträge
  • Genehmigungsworkflow (4-Augen-Prinzip, optional)
  • Benachrichtigungssystem
  • Support-Features (temporäre Rollenübernahme)
  • Admin-UI für Rollenverwaltung
  • Database-Schema für Rollen/Rechte

Geschätzter Aufwand: 10-15 Arbeitstage

5. Benutzer-Accounts & Profile ⏳

Fortschritt: 40/100

Was bereits umgesetzt:

  • ✅ Account-Erstellung via Keycloak OAuth-Callback
  • ✅ Basis-Benutzer-Objekt (userId, email, name)
  • ✅ Session-Zuordnung zu User

Was noch zu tun ist:

  • Profil-Selbstverwaltung (Passwort, Kontaktdaten, Präferenzen)
  • Nutzertypen (intern vs. extern) definieren
  • Onboarding-Prozess (Einladung, Schulungsbestätigung)
  • Offboarding-Automation (Rollen entziehen, Sessions löschen)
  • Vertretungsrechte (mit Ablaufdatum)
  • Admin-UI für Benutzerverwaltung

Geschätzter Aufwand: 5-7 Arbeitstage

6. Organisation & Struktur ❌

Fortschritt: 0/100

Was noch zu tun ist:

  • Multi-Level-Struktur-Modell (Landkreis → Region → Gemeinde → Ortsteil)
  • Mehrfach-Zugehörigkeit (User in mehreren Organisationen)
  • Mandantenfähigkeit (Row-Level Security)
  • Delegierte Administration
  • Privacy-Optionen (Namennennung vs. Anonymität)
  • Beitrittsprinzip (Einladung/Bewerbung)
  • Database-Schema für Organisationen
  • Admin-UI für Struktur-Management

Geschätzter Aufwand: 8-10 Arbeitstage

7. Datenschutz & Compliance ⏳

Fortschritt: 40/100

Was bereits umgesetzt:

  • ✅ Basis-Audit-Logging (Session-Events)
  • ✅ Token-Verschlüsselung (Datenschutz at-rest)
  • ✅ TLS-Verschlüsselung (Datenschutz in-transit)

Was noch zu tun ist:

  • Umfassendes Audit-Logging (alle sicherheitsrelevanten Aktionen)
  • Audit-Export (CSV/JSON)
  • DSGVO-Datenexport-API
  • Regelmäßige Überprüfungs-Erinnerungen
  • Automatische Dokumentation von Änderungen

Geschätzter Aufwand: 5-7 Arbeitstage

8. Datenlöschkonzept (DSGVO) ❌

Fortschritt: 0/100

Was noch zu tun ist:

  • Self-Service Löschantrag-Interface
  • Admin-Interface für Löschanträge
  • Status-Workflow (Eingereicht → Prüfung → Genehmigt/Abgelehnt)
  • Benachrichtigungssystem
  • Impact-Analyse vor Löschung
  • Automatisierte Lösch-Routinen (Cronjobs)
  • Soft-Delete + Hard-Delete
  • Pseudonymisierung als Alternative
  • Aufbewahrungsfristen
  • Archivierung vor Löschung

Geschätzter Aufwand: 10-12 Arbeitstage (CRITICAL PATH)

⏳ Noch Nicht Gestartet: MVP-Features (2/10 Kategorien)

Fortschritt: 0%

9. News-Modul (MVP) ❌

Fortschritt: 0/100

Was noch zu tun ist:

  • Content-Model definieren (Titel, Body, Author, Status, etc.)
  • Database-Schema (PostgreSQL/Supabase)
  • CRUD-APIs (Create, Read, Update, Delete)
  • Workflow (Entwurf → Prüfung → Veröffentlichung)
  • Versionierung (Wer, Wann, Was)
  • Publishing-UI
  • Preview-Funktion
  • Archivierung

Geschätzter Aufwand: 8-10 Arbeitstage

10. Medienverwaltung ❌

Fortschritt: 0/100

Was noch zu tun ist:

  • Zentrale Medien-Bibliothek
  • Upload & Auto-Optimierung (Thumbnails, responsive Varianten)
  • Bildbearbeitung (Zuschneiden, Drehen, Filter, Fokuspunkt)
  • Metadaten-Management (Title, Alt-Text, Copyright, EXIF)
  • Versionierung
  • Verwendungsnachweis
  • Ordnerstruktur + Berechtigungen
  • Bulk-Operationen
  • Externe Integration (S3, Azure, Cloudinary, CDN)

Geschätzter Aufwand: 12-15 Arbeitstage

11. Dashboard & UI ❌

Fortschritt: 0/100

Was noch zu tun ist:

  • Dashboard mit Widgets (Meine Aufgaben, Quick-Actions, Stats)
  • Navigation (Hauptmenü, Breadcrumbs)
  • Responsive Design
  • Barrierefreiheit (WCAG 2.1 AA)
  • Dark-Mode (optional)
  • Analytics-Integration (optional)

Geschätzter Aufwand: 10-12 Arbeitstage

📈 Zusammenfassung

Bereich Status Fortschritt Aufwand
Authentifizierung ✅ Ready 85% ✅ Done
Monitoring/Ops ⏳ Dokumentiert 100% Doc ⏳ TBD Implementation
Rollen & Rechte ❌ TODO 0% 10-15 Tage
Benutzer-Accounts ⏳ Partial 40% 5-7 Tage
Organisation ❌ TODO 0% 8-10 Tage
Datenschutz ⏳ Partial 40% 5-7 Tage
Datenlöschung ❌ TODO 0% 10-12 Tage
News-Modul ❌ TODO 0% 8-10 Tage
Medienverwaltung ❌ TODO 0% 12-15 Tage
Dashboard & UI ❌ TODO 0% 10-12 Tage
TOTAL 🟡 30% 30% ~75-100 Tage

🎯 Critical Path (Blockers für MVP Launch)

  1. Rollen- & Rechtemanagement (10-15 Tage) – Alles andere hängt davon ab
  2. Datenlöschkonzept (10-12 Tage) – DSGVO-Compliance MUSS
  3. News-Modul (8-10 Tage) – MVP-Feature
  4. Medienverwaltung (12-15 Tage) – MVP-Feature
  5. Benutzer-Accounts (5-7 Tage) – Abhängig von Rollen & Rechte

Kritischer Pfad-Gesamtdauer: ~50-60 Arbeitstage (10-12 Wochen mit 1 Senior Dev)

🚀 Empfohlene Nächste Schritte

Phase 1: Rollen & Rechte (SOFORT STARTEN)

  1. Database-Schema für Rollen/Rechte designen
  2. Permissions-API implementieren
  3. Admin-UI für Rollenverwaltung
  4. Testing (Unit + Integration)

Phase 2: MVP-Features (PARALLEL)

  1. News-Modul Database + APIs
  2. Medienverwaltung Backend
  3. UI/UX für beide Features

Phase 3: Compliance (PARALLEL)

  1. DSGVO-Datenlöschung
  2. Audit-Logging erweitern
  3. Monitoring implementieren

📋 Metriken nach dieser Session

Vorher: Milestone 1 Status unbekannt Nachher:

  • ✅ 30% des Milestone 1 Funktionalität abgeschlossen (Security-Foundation)
  • ✅ 70% noch zu implementieren
  • ✅ Critical-Path identifiziert
  • ✅ Aufwandschätzung durchgeführt (75-100 Tage)
  • ✅ Blockierendes Rollen-&-Rechte-System identifiziert

🔄 Status-Updates

4. Februar 2026 - 14:30 UTC:

  • Redacted Security Review für Redis Session Store abgeschlossen ✅
  • Monitoring/Alerting Anforderungen dokumentiert ✅
  • Backup/Restore Runbook erstellt ✅
  • Branch feature/redis-session-store-security erstellt + committed ✅
  • Milestone-1-Fortschrittsanalyse durchgeführt ✅

Nächstes Review: Nach Rollen-&-Rechte-System-Implementierung (ca. 2 Wochen)

Kontakt & Fragen

Für Fragen zum Milestone 1:

  • Authentifizierung: packages/auth/
  • Database-Schema: TBD (noch zu definieren)
  • Architecture-Decisions: openspec/changes/add-redis-session-store/
⚠️ **GitHub.com Fallback** ⚠️