Interne Plattform — Login (Phase 1c). Pre-Auth-Check läuft vor jeder Anmeldung gegen Device-, IP- und Browser-Regeln.