2FA-Login: Prüfung schlägt nicht offen fehl, Fehlversuche vor dem Aufruf zählen

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/routes/auth.js

@@ -10,7 +10,7 @@ import {
   updateDocument,
   Query,
 } from '../services/appwriteAdmin.js'
-import { loginWithAppwrite, getLoginCooldownRemainingSec } from '../services/appwriteClient.js'
+import { loginWithAppwrite, getLoginCooldownRemainingSec, sessionNeedsSecondFactor } from '../services/appwriteClient.js'
 import {
   SESSION_REVOKED_MESSAGE,
   clearPortalSession,
@@ -169,7 +169,8 @@ router.post('/login', async (req, res) => {
     const staff = await resolveStaffAccount(user.$id, email.trim(), account)
     if (staff) {
       // Mitarbeiter mit Appwrite-2FA: erst der Code aus der Mail macht daraus eine Portal-Sitzung
-      if (account?.mfa === true) {
+      // mfa-Flag ODER Appwrite verlangt einen zweiten Faktor: scheitert der Konto-Abruf, entscheidet Appwrite
+      if (account?.mfa === true || (await sessionNeedsSecondFactor(user.sessionCookie))) {
         const { key, maskedEmail } = await startStaffMfa({ userId: user.$id, email: staff.email, sessionCookie: user.sessionCookie }).catch((err) => {
           if (err.type === 'user_email_not_verified') {
             err.status = 403