## Ist-Zustand `abschnitt.create` („Abschnitt anlegen", `src/PermissionCatalog.php:51`) ist ein **toter Rechte-Schlüssel**: - steht in `ALL_KEYS` und ist damit im Rollen-Editor anklickbar - trägt eine Beschriftung, die eine konkrete Wirkung verspricht - ist an **alle fünf** Rollen geseedet (Admin/EL/Lage/Dispo/SP-Dispo) - wird **nirgends im Code geprüft** — der einzige Treffer außerhalb des Katalogs ist der Legacy-Fallback `src/User.php:255` Das Anlegen läuft faktisch auf `einsatz.edit` (`public/api/abschnitte-create.php:32`). Ein Admin, der das Häkchen „Abschnitt anlegen" entfernt, ändert damit **nichts** — die Rolle legt weiter Abschnitte an. Ein Rechte-Schalter, der nichts tut, ist in einer Berechtigungs-Oberfläche ein Vertrauensproblem: Der Admin glaubt, etwas abgesichert zu haben, was offen ist. ## Entscheidung (Planungsrunde 20.07.2026): scharfschalten statt ausbauen **Risiko-Prüfung vorab:** Die Seed-Sets von `abschnitt.create` und `einsatz.edit` sind **deckungsgleich** — jede der fünf Rollen trägt beide. Der Legacy-Fallback in `src/User.php:255` behandelt beide ebenfalls identisch (`role !== ROLE_GAST`). Scharfschalten ist damit für Standard-Rollen und für unkonfigurierte Bestandsinstallationen ein **No-op**. Betroffen wären ausschließlich **Custom-Rollen** mit `einsatz.edit`, aber ohne `abschnitt.create`. Für die ist die Änderung kein Rechteentzug, sondern die Herstellung dessen, was der Admin konfiguriert hat. Gegen ein Entfernen des Schlüssels sprach: Migration der `role_permissions`-Zeilen nötig, die Delegierbarkeit wäre dauerhaft weg, und es widerspräche der mit #201/#202 etablierten Linie „ein Recht pro fachlicher Aktion". ## Aufgabe - [ ] `public/api/abschnitte-create.php` auf `abschnitt.create` gaten (statt `einsatz.edit`) - [ ] UI-Seite prüfen: Wer bietet „Abschnitte bilden" an (`src/AbschnitteModal.php`, `public/einsaetze/view.php`)? Gate dort deckungsgleich ziehen, damit keine Drift in der Gegenrichtung entsteht (Knopf sichtbar, Endpunkt verweigert) - [ ] `ApiPermissionGateTest::EXPECTED` nachziehen - [ ] CHANGELOG: Verhaltensänderung für Custom-Rollen benennen - [ ] Permission-Matrix im Handbuch gegenlesen ## Bezug Gefunden beim Umsetzen von #201/#202 (v4.5 Welle 1) und im Abnahme-Review bestätigt (security-reviewer M2, code-reviewer). Gleiche Befund-Klasse wie #201/#202. _Planungsrunde v4.5, 20.07.2026._