Login handler hatte h.Audit injiziert (mit Kommentar "login-success/fail
ins audit_log fließen") aber nie aufgerufen. Jetzt werden geloggt:
- auth.login.failed (reason: invalid_credentials | account_disabled)
- auth.login.success (mit role + remote IP)
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>