CC-SEC-03 Transitive Lücken schließen (overrides/Lockfile)

[jurei733]

Parent Epic: #142

Aufwand: 2 PT
Priorität: P0
Sprint: Sprint 1 (20.04–01.05)

Akzeptanzkriterien

• Transitive High Findings sind behoben oder mit Risikoentscheidung dokumentiert.
• Lockfile ist konsistent, keine lokalen Workarounds nötig.
• Build und Tests laufen unverändert grün.

[jurei733]

Abhängigkeit: hängt von #147 ab.

[jurei733]

Nachpruefung am 2026-06-17: Die Akzeptanzkriterien sind aus meiner Sicht erfuellt.

Geprueft:

• PR Clean up production audit dependencies #184 ist gemergt und enthaelt den Lockfile-/Dependency-Cleanup.
• package-lock.json ist mit npm ci konsistent installierbar.
• npm run audit:prod meldet found 0 vulnerabilities.
• Transitive High/Critical-Findings sind im produktiven Dependency-Set nicht mehr vorhanden.
• Die verbleibenden Audit-Findings im vollstaendigen Dev-Set sind 4 moderate Findings ueber @angular-devkit/build-angular -> webpack-dev-server / sockjs / uuid; npm audit meldet dafuer fixAvailable: false.
• Builds und Coverage-Tests laufen gruen.

Damit ist das Ticket korrekt umgesetzt; die restlichen moderaten Dev-Tooling-Findings sind kein offenes High-Finding und aktuell ohne direkten non-breaking Audit-Fix.