fix(security): resolve FLAW-08 with token_version invalidation and jwt blacklist

Doku/database.md

@@ -58,6 +58,7 @@ CREATE TABLE IF NOT EXISTS users (
     avatar_url TEXT NOT NULL DEFAULT '',       -- Profilbild URL oder leer
     role TEXT NOT NULL DEFAULT 'member',       -- 'admin' | 'member'
     is_active INTEGER NOT NULL DEFAULT 1,      -- 1 = aktiv, 0 = gesperrt
+    token_version INTEGER NOT NULL DEFAULT 1,  -- Erhöht bei Passwortwechsel/Rechteentzug zur Token-Invalidierung
     alarm_channels TEXT NOT NULL DEFAULT 'discord', -- Kommagetrennt: 'email', 'discord', 'webhook'
     alarm_email TEXT NOT NULL DEFAULT '',      -- Ziel-E-Mail für Alarme
     discord_webhook_url TEXT NOT NULL DEFAULT '', -- Discord Webhook URL
@@ -111,6 +112,19 @@ CREATE TABLE IF NOT EXISTS api_keys (
 );
 ```
 
+#### `revoked_tokens`
+Sperrliste für explizit abgemeldete JWTs (Blacklist bis zum regulären Token-Ablaufdatum).
+```sql
+CREATE TABLE IF NOT EXISTS revoked_tokens (
+    token_hash TEXT PRIMARY KEY,               -- SHA-256 Hash des Tokens
+    user_id TEXT NOT NULL,                     -- Benutzer-ID
+    expires_at TEXT NOT NULL,                  -- ISO 8601 Ablaufdatum
+    revoked_at TEXT NOT NULL                   -- ISO 8601 Sperrzeitpunkt
+);
+CREATE INDEX IF NOT EXISTS idx_revoked_tokens_expires ON revoked_tokens(expires_at);
+CREATE INDEX IF NOT EXISTS idx_revoked_tokens_user ON revoked_tokens(user_id);
+```
+
 ---
 
 ### 2.2 Gruppen & Organisations-Teams