[KTO-01] Registrieren, anmelden und Passwort zurücksetzen

cschlaefke commented

2026-11-02 13:38:55 +00:00

Owner

Story

Als Brettspieler ohne Konto
möchte ich mich mit E-Mail und Passwort registrieren, anmelden und mein Passwort zurücksetzen können,
damit meine Sammlung und Partien sicher an mein Konto gebunden sind.

Akzeptanzkriterien

Quelle: requirements/20-r1-akzeptanzkriterien.md § KTO-01 (Referenz in Tests/PR: „KTO-01 Kriterium n“), Stand 2026-11-02 inkl. Klärungen und N2

1. Gegeben ich habe kein Konto, wenn ich E-Mail-Adresse, Passwort und Anzeigenamen eingebe und bestätige, dass ich mindestens 16 Jahre alt bin, dann wird ein Konto angelegt und ich erhalte eine E-Mail zur Bestätigung.
2. Gegeben ich bestätige das Mindestalter nicht, wenn ich mich registrieren will, dann wird die Registrierung abgelehnt und ich sehe den Grund.
3. Gegeben das Passwort hat weniger als 10 Zeichen oder steht auf einer Liste häufiger Passwörter, wenn ich es eingebe, dann erklärt mir die App am Feld, was fehlt.
4. Gegeben die E-Mail-Adresse ist schon registriert, wenn ich mich damit registriere, dann erfahre ich nicht, ob ein Konto existiert, und es entsteht kein zweites Konto.
5. Gegeben ein bestätigtes Konto, wenn ich die richtigen Zugangsdaten eingebe, dann bin ich angemeldet und bleibe es auf diesem Gerät, bis ich mich abmelde.
6. Gegeben ein unbestätigtes Konto, wenn ich mich anmelde, dann werde ich auf die ausstehende Bestätigung hingewiesen und kann die E-Mail erneut senden lassen.
7. Gegeben falsche Zugangsdaten, wenn ich mich anmelde, dann sehe ich eine allgemeine Fehlermeldung, die nicht verrät, ob E-Mail oder Passwort falsch war; nach mehreren Fehlversuchen wird der Zugang zeitweise gebremst. Anzahl der Versuche und Dauer der Bremse folgen den Standards der Supabase-Auth-Konfiguration (self-hosted); die Werte sind im Repo dokumentiert und in den Tests referenziert (Klärung 18).
8. Gegeben ich habe das Passwort vergessen, wenn ich das Zurücksetzen anfordere, dann erhalte ich einen zeitlich begrenzten Link, mit dem ich ein neues Passwort setze; der Link funktioniert nur einmal. Die Gültigkeit von Reset- und Bestätigungslink folgt der Supabase-Auth-Konfiguration und ist im Repo dokumentiert (Klärung 18).
9. Gegeben ich habe das Passwort zurückgesetzt, dann bin ich auf allen anderen Geräten abgemeldet.
10. (neu) Gegeben ich registriere mich, wenn der Anzeigename leer ist oder länger als 30 Zeichen, dann kann ich mich nicht registrieren und sehe den Fehler am Feld; es gelten dieselben Regeln wie in KTO-02 Kriterium 1 (Klärung 22).
11. (neu) Gegeben Shuffle sendet mir eine E-Mail zur Bestätigung oder zum Zurücksetzen des Passworts, dann ist sie in der Sprache meines Profils; andere E-Mails verschickt Shuffle in R1 nicht, außer Bestätigungslink und Info-Mail beim Wechsel der E-Mail-Adresse (KTO-11 Kriterium 4) (Klärung 45, N2).

Querschnitt

Es gelten alle Querschnittskriterien aus 20-r1-akzeptanzkriterien.md § „Querschnitt für R1“ (Datenschutz QUE-04, Sicherheit der Daten, Sprachen QUE-05, Barrierefreiheit QUE-06, Zustände/Fehler/Netz, Plattformen).
Besonders relevant: Datenschutz Kriterium 1 (Zustimmung zu Datenschutzerklärung und Nutzungsbedingungen vor der Registrierung), Datenschutz Kriterien 2 und 4 (nur anonyme Reichweitenmessung ohne Einwilligung), Sicherheit der Daten Kriterium 2. Sprache der Profilangabe bei Registrierung: KTO-11 (#28) Kriterium 11.

Nicht im Scope

Apple-/Google-Login (Entscheidung O1)
Zwei-Faktor-Authentifizierung
Abmelden aller anderen Geräte außer nach Passwort-Reset – nach Passwort- oder E-Mail-Wechsel regelt das KTO-11 (#28, N1)
Abmelden sowie E-Mail-Adresse und Passwort ändern – gehört zu KTO-11 Einstellungsbereich (#28, Klärung 22)

Klärungen

Verbindlich laut requirements/r1-klaerungen.md (2026-11-02):

18: Drosselung und Gültigkeit von Reset- und Bestätigungslink nach Supabase-Auth-Standards (self-hosted Config); Werte im Repo dokumentieren und in Tests referenzieren → Kriterien 7, 8.
21/47: Datenschutzerklärung und Nutzungsbedingungen liefert Chris vor dem Release; Selbstbestätigung „mindestens 16“ reicht bis zur rechtlichen Prüfung; nur anonyme, cookielose Reichweitenmessung ohne Einwilligung. Rechtliche Prüfung vor Release nötig.
22: Anzeigename bei Registrierung mit denselben Regeln wie KTO-02 (1–30 Zeichen) → Kriterium 10. Abmelden, E-Mail/Passwort ändern → KTO-11 (#28).
45: E-Mails nur für Bestätigung und Passwort-Reset (Supabase-Systemmails) in der Sprache des Profils → Kriterium 11.
N2: Beim E-Mail-Wechsel (KTO-11) gehen zusätzlich ein Bestätigungslink an die neue und eine Info-Mail an die alte Adresse → Ausnahme in Kriterium 11.

Planung

Epic: KTO Konto & Profil
Priorität: Must
Größe: XL
Etappe: R1.1 Fundament
Abhängigkeiten: keine (Fundament)

Mögliche Schnitte für die Spec

KTO-01a Registrierung inkl. Alters- und Einwilligungsbestätigung, Anzeigename, E-Mail-Bestätigung (Kriterien 1–4, 6, 10, 11)
KTO-01b Anmelden mit Drosselung (Kriterien 5, 7)
KTO-01c Passwort zurücksetzen (Kriterien 8–9, 11)

Referenzen

Akzeptanzkriterien: requirements/20-r1-akzeptanzkriterien.md#kto-01-registrieren-anmelden-und-passwort-zurücksetzen
Klärungen: requirements/r1-klaerungen.md (inkl. N2)
Story-Entwurf: requirements/r1-story-entwurf.md (freigegeben 2026-11-02)
Backlog: requirements/backlog.md

## Story **Als** Brettspieler ohne Konto **möchte ich** mich mit E-Mail und Passwort registrieren, anmelden und mein Passwort zurücksetzen können, **damit** meine Sammlung und Partien sicher an mein Konto gebunden sind. ## Akzeptanzkriterien Quelle: `requirements/20-r1-akzeptanzkriterien.md` § KTO-01 (Referenz in Tests/PR: „KTO-01 Kriterium n“), Stand 2026-11-02 inkl. Klärungen und N2 - [ ] **1.** Gegeben ich habe kein Konto, wenn ich E-Mail-Adresse, Passwort und Anzeigenamen eingebe und bestätige, dass ich mindestens 16 Jahre alt bin, dann wird ein Konto angelegt und ich erhalte eine E-Mail zur Bestätigung. - [ ] **2.** Gegeben ich bestätige das Mindestalter nicht, wenn ich mich registrieren will, dann wird die Registrierung abgelehnt und ich sehe den Grund. - [ ] **3.** Gegeben das Passwort hat weniger als 10 Zeichen oder steht auf einer Liste häufiger Passwörter, wenn ich es eingebe, dann erklärt mir die App am Feld, was fehlt. - [ ] **4.** Gegeben die E-Mail-Adresse ist schon registriert, wenn ich mich damit registriere, dann erfahre ich nicht, ob ein Konto existiert, und es entsteht kein zweites Konto. - [ ] **5.** Gegeben ein bestätigtes Konto, wenn ich die richtigen Zugangsdaten eingebe, dann bin ich angemeldet und bleibe es auf diesem Gerät, bis ich mich abmelde. - [ ] **6.** Gegeben ein unbestätigtes Konto, wenn ich mich anmelde, dann werde ich auf die ausstehende Bestätigung hingewiesen und kann die E-Mail erneut senden lassen. - [ ] **7.** Gegeben falsche Zugangsdaten, wenn ich mich anmelde, dann sehe ich eine allgemeine Fehlermeldung, die nicht verrät, ob E-Mail oder Passwort falsch war; nach mehreren Fehlversuchen wird der Zugang zeitweise gebremst. Anzahl der Versuche und Dauer der Bremse folgen den Standards der Supabase-Auth-Konfiguration (self-hosted); die Werte sind im Repo dokumentiert und in den Tests referenziert (Klärung 18). - [ ] **8.** Gegeben ich habe das Passwort vergessen, wenn ich das Zurücksetzen anfordere, dann erhalte ich einen zeitlich begrenzten Link, mit dem ich ein neues Passwort setze; der Link funktioniert nur einmal. Die Gültigkeit von Reset- und Bestätigungslink folgt der Supabase-Auth-Konfiguration und ist im Repo dokumentiert (Klärung 18). - [ ] **9.** Gegeben ich habe das Passwort zurückgesetzt, dann bin ich auf allen anderen Geräten abgemeldet. - [ ] **10.** *(neu)* Gegeben ich registriere mich, wenn der Anzeigename leer ist oder länger als 30 Zeichen, dann kann ich mich nicht registrieren und sehe den Fehler am Feld; es gelten dieselben Regeln wie in KTO-02 Kriterium 1 (Klärung 22). - [ ] **11.** *(neu)* Gegeben Shuffle sendet mir eine E-Mail zur Bestätigung oder zum Zurücksetzen des Passworts, dann ist sie in der Sprache meines Profils; andere E-Mails verschickt Shuffle in R1 nicht, außer Bestätigungslink und Info-Mail beim Wechsel der E-Mail-Adresse (KTO-11 Kriterium 4) (Klärung 45, N2). ## Querschnitt Es gelten alle Querschnittskriterien aus `20-r1-akzeptanzkriterien.md` § „Querschnitt für R1“ (Datenschutz QUE-04, Sicherheit der Daten, Sprachen QUE-05, Barrierefreiheit QUE-06, Zustände/Fehler/Netz, Plattformen). Besonders relevant: **Datenschutz Kriterium 1** (Zustimmung zu Datenschutzerklärung und Nutzungsbedingungen vor der Registrierung), Datenschutz Kriterien 2 und 4 (nur anonyme Reichweitenmessung ohne Einwilligung), Sicherheit der Daten Kriterium 2. Sprache der Profilangabe bei Registrierung: KTO-11 (#28) Kriterium 11. ## Nicht im Scope - Apple-/Google-Login (Entscheidung O1) - Zwei-Faktor-Authentifizierung - Abmelden aller anderen Geräte außer nach Passwort-Reset – nach Passwort- oder E-Mail-Wechsel regelt das KTO-11 (#28, N1) - Abmelden sowie E-Mail-Adresse und Passwort ändern – gehört zu KTO-11 Einstellungsbereich (#28, Klärung 22) ## Klärungen Verbindlich laut `requirements/r1-klaerungen.md` (2026-11-02): - **18:** Drosselung und Gültigkeit von Reset- und Bestätigungslink nach Supabase-Auth-Standards (self-hosted Config); Werte im Repo dokumentieren und in Tests referenzieren → Kriterien 7, 8. - **21/47:** Datenschutzerklärung und Nutzungsbedingungen liefert Chris vor dem Release; Selbstbestätigung „mindestens 16“ reicht bis zur rechtlichen Prüfung; nur anonyme, cookielose Reichweitenmessung ohne Einwilligung. **Rechtliche Prüfung vor Release nötig.** - **22:** Anzeigename bei Registrierung mit denselben Regeln wie KTO-02 (1–30 Zeichen) → Kriterium 10. Abmelden, E-Mail/Passwort ändern → KTO-11 (#28). - **45:** E-Mails nur für Bestätigung und Passwort-Reset (Supabase-Systemmails) in der Sprache des Profils → Kriterium 11. - **N2:** Beim E-Mail-Wechsel (KTO-11) gehen zusätzlich ein Bestätigungslink an die neue und eine Info-Mail an die alte Adresse → Ausnahme in Kriterium 11. ## Planung - Epic: KTO Konto & Profil - Priorität: Must - Größe: XL - Etappe: R1.1 Fundament - Abhängigkeiten: keine (Fundament) ## Mögliche Schnitte für die Spec - KTO-01a Registrierung inkl. Alters- und Einwilligungsbestätigung, Anzeigename, E-Mail-Bestätigung (Kriterien 1–4, 6, 10, 11) - KTO-01b Anmelden mit Drosselung (Kriterien 5, 7) - KTO-01c Passwort zurücksetzen (Kriterien 8–9, 11) ## Referenzen - Akzeptanzkriterien: `requirements/20-r1-akzeptanzkriterien.md#kto-01-registrieren-anmelden-und-passwort-zurücksetzen` - Klärungen: `requirements/r1-klaerungen.md` (inkl. N2) - Story-Entwurf: `requirements/r1-story-entwurf.md` (freigegeben 2026-11-02) - Backlog: `requirements/backlog.md`