Das Mindestalter wird eingeloest statt behauptet -- Stufe 8 ist damit durch

Auf der Regelseite des Treffs steht seit dem 11.09. "ab 18". Geprueft
wurde es nirgends: MINDESTALTER war ein Text auf einer Seite, sonst
nichts. Eine Regel, die nur dasteht, ist keine -- im Streitfall ist sie
sogar schlechter als keine, weil man sie versprochen hat.

DIE FRAGE STEHT AN DER TUER

Ein Community-Mitglied bestaetigt beim ERSTEN Hereinkommen, mindestens
18 zu sein. Danach nie wieder.

  An der Tuer und nicht auf einer Seite dahinter: Eine Sperre auf den
  Brettern liesse sich ueber eine andere Adresse umgehen und muesste
  auf jeder kuenftigen Seite mitgedacht werden. Die Tuer gibt es genau
  einmal.

  Ein EIGENER Fehler (400 alter_offen), nicht "ungueltig": Hier ist der
  Code richtig. Wer dieselbe Antwort bekaeme wie bei einem Tippfehler,
  tippte seinen Code immer wieder neu ein, und es wuerde nie besser.

  Und es zaehlt NICHT als Fehlversuch. Sonst sperrt sich jemand mit dem
  richtigen Code nach acht Anlaeufen selbst aus.

  Nur die Community: Wer zum Team gehoert, hat seinen Zugang von
  DogFather persoenlich bekommen -- da ist die Frage vorher geklaert.

NUR EIN ZEITSTEMPEL, KEIN GEBURTSDATUM

Gebraucht wird die Antwort auf "hat bestaetigt, und wann" -- nicht der
Geburtstag. Ein Geburtsdatum waeren mehr Daten fuer dieselbe Auskunft,
und Datenminimierung gilt auch fuer das eigene Nachweisbeduerfnis. Eine
Spalte, mehr nicht.

DIE RECHTSGRUNDLAGE FOLGT AUS DER ROLLE -- UND WIRD NICHT GESPEICHERT

Ein Modi arbeitet hier (Vertrag), ein Community-Mitglied ist freiwillig
da (Einwilligung). Was sich ableiten laesst, bekommt keine Spalte:
sonst gaebe es zwei Wahrheiten, von denen eine veraltet, sobald jemand
die Rolle wechselt. Sie steht jetzt in jeder Auskunft (Art. 15 Abs. 1
lit. a) und im Loeschkonzept.

MINDESTALTER ZIEHT INS IMPORTFREIE BLATT

Die Tuer braucht die Zahl jetzt auch, und ein Import zwischen
workspace.js und workspace-treff.js waere ein Kreis -- genau der Grund,
aus dem treff-tabellen.js existiert. Die Zahl steht weiterhin an EINER
Stelle; der Regeltext bekommt sie unveraendert.

EIN EIGENER FEHLER, GEFUNDEN VON DER PRUEFUNG

Ich hatte `export { MINDESTALTER } from "./treff-tabellen.js"` benutzt --
eine Durchreiche. Der Name ist damit fuer IMPORTEURE da, aber nicht in
der Datei selbst. Die Regelroute benutzt ihn selbst und lief in einen
ReferenceError, und zwar erst beim Aufruf. pruef-alter hat es gesehen,
nicht das Auge.

VIER PRUEFUNGEN MUSSTEN NACHZIEHEN

pruef-treff, pruef-treff-werkzeuge, pruef-auskunft und pruef-neue-seiten
melden sich als Community an. Sie schicken das Haekchen jetzt mit --
aber NUR fuer 'gast'. Ginge es immer mit, koennte keine Pruefung mehr
sehen, ob der Server es fuer das Team ueberhaupt ignoriert.

PRUEFUNGEN: pruef-alter neu mit 35, davon 7 im Browser. Darunter die,
die man vergisst: Wird beim ZWEITEN Mal wieder gefragt? (nein) -- denn
eine Abfrage, die jedes Mal kommt, wird weggeklickt, ohne gelesen zu
werden, und bestaetigt ab da nichts mehr.

Co-Authored-By: Claude Opus 5 <[email protected]>

server/workspace.js

@@ -31,7 +31,7 @@ import { darfSeite, OHNE_ANMELDUNG, seitenFuer } from "./rechte.js";
 /* Ein Modul ohne eigene Importe -- deshalb entsteht hier kein Kreis,
    obwohl workspace-treff.js seinerseits aus dieser Datei importiert.
    Begruendung im Kopf von treff-tabellen.js. */
-import { treffTabellen, treffSperreLesen } from "./treff-tabellen.js";
+import { treffTabellen, treffSperreLesen, MINDESTALTER } from "./treff-tabellen.js";
 import { sitzungPasstZurAdresse, istOhneModiAdresse, istCrewAdresse, istPruefAdresse, AUSSEN_ROLLEN,
   TEAM_DOGI_ROLLEN } from "./crew-adresse.js";
 /* Weitergereicht, damit die Fachmodule sie wie alles andere aus
@@ -2027,6 +2027,26 @@ function umstellungen(d) {
        bei antwort_auf weiter oben. */
     ["chat_nachrichten", "angeheftet_am", "TEXT"],
     ["chat_nachrichten", "angeheftet_von", "INTEGER"],
+
+    /* DAS BESTAETIGTE ALTER (15.09.2026, Stufe 8).
+
+       Auf der Regelseite des Treffs steht seit dem 11.09. "ab 18" --
+       und geprueft wurde es nirgends. Eine Regel, die nur dasteht, ist
+       keine; im Streitfall ist sie sogar schlechter als keine, weil man
+       sie versprochen hat.
+
+       NUR EIN ZEITSTEMPEL, KEIN GEBURTSDATUM. Gebraucht wird die
+       Antwort auf "hat bestaetigt, alt genug zu sein, und wann" --
+       nicht der Geburtstag. Ein Geburtsdatum waere mehr Daten fuer
+       dieselbe Auskunft, und Datenminimierung (Art. 5 Abs. 1 lit. c)
+       gilt auch fuer das eigene Nachweisbeduerfnis.
+
+       WARUM KEINE SPALTE FUER DIE RECHTSGRUNDLAGE: Sie folgt aus der
+       Rolle -- ein Modi arbeitet hier (Vertrag), ein Community-Mitglied
+       ist freiwillig da (Einwilligung). Was sich ableiten laesst, wird
+       nicht gespeichert; sonst haette man zwei Wahrheiten, von denen
+       eine veraltet. Siehe grundlageVon() in workspace-aufbewahrung.js. */
+    ["personen", "alter_bestaetigt_am", "TEXT"],
   ]) {
     try {
       const vorhanden = d.prepare(`PRAGMA table_info(${tabelle})`).all().map((s) => s.name);
@@ -4058,6 +4078,46 @@ workspaceRouter.post("/workspace/api/anmelden", (req, res) => {
       return res.status(401).json({ fehler: "ungueltig" });
     }
 
+    /* ================================================================
+       DAS ALTER WIRD AN DER TUER BESTAETIGT (15.09.2026)
+
+       Die Regelseite verspricht "ab 18". Bis heute war das ein Satz.
+       Jetzt ist es eine Bedingung -- einmal, beim ersten Hereinkommen,
+       und danach nie wieder.
+
+       WARUM AN DER TUER UND NICHT AUF EINER SEITE DAHINTER: Eine Sperre
+       auf den Brettern liesse sich durch eine andere Adresse umgehen,
+       und sie muesste auf jeder kuenftigen Seite mitgedacht werden. Die
+       Tuer gibt es genau einmal.
+
+       WARUM EIN EIGENER FEHLER UND NICHT "ungueltig": Hier ist der Code
+       richtig. Wer dieselbe Antwort bekaeme wie bei einem Tippfehler,
+       wuerde seinen Code neu eintippen -- immer wieder, und es wuerde
+       nie besser. Das ist nicht dieselbe Lage und darf nicht dieselbe
+       Antwort sein.
+
+       NUR FUER DIE COMMUNITY: Wer zum Team gehoert, hat einen Zugang
+       von DogFather persoenlich bekommen -- da ist die Frage vorher
+       geklaert und eine Kachel an der Tuer nur im Weg. */
+    if (AUSSEN_ROLLEN.has(gefunden.rolle)) {
+      const bestaetigt = db().prepare(
+        "SELECT alter_bestaetigt_am FROM personen WHERE id = ?").get(gefunden.id)?.alter_bestaetigt_am;
+      if (!bestaetigt) {
+        if (req.body?.alter_ok !== true) {
+          /* KEIN Eintrag in `versuche`: Das war kein Fehlversuch. Wer
+             hier landet, hat den richtigen Code -- ihn nach acht
+             Anlaeufen auszusperren waere absurd. */
+          return res.status(400).json({ fehler: "alter_offen", mindestalter: MINDESTALTER });
+        }
+        db().prepare("UPDATE personen SET alter_bestaetigt_am = ? WHERE id = ?")
+          .run(jetzt(), gefunden.id);
+        protokolliere("alter_bestaetigt", {
+          personId: gefunden.id, rolle: gefunden.rolle, ip,
+          detail: `mindestens ${MINDESTALTER}`,
+        });
+      }
+    }
+
     db().prepare("DELETE FROM versuche WHERE ip = ?").run(ip);
     db().prepare("UPDATE personen SET letzter_login = ? WHERE id = ?").run(jetzt(), gefunden.id);
     sitzungSetzen(res, gefunden, req);