docs(quick-260914-ebg): Kopfkommentar adminResetPassword — Schwesterwege PATCH/DELETE /users/:id geschlossen (WINDOWS #29)

- auth.service.ts: letzter Satz des Kopfkommentars ueber adminResetPassword nennt T-FH9-05 nicht mehr als offen, sondern verweist auf den seit 260914-ebg (WINDOWS #29) identischen Riegel in UserController.update()/remove()
- Falsifizierung: Rueckbau des Task-1-Commits (git apply -R) macht Test 9 und Test 13 rot (Tests  2 failed | 14 passed (16)), danach byte-identisch wiederhergestellt (git checkout --, git status --porcelain leer)
- Rule 1 Nebenfund: acht neue Tests in user.controller.spec.ts trugen sechs ueberfluessige `as any`-Umschreibungen (UpdateUserDto ist vollstaendig optional, siehe planning_measurements), die die Biome-Warnungen dieser Datei von 25 auf 31 trieben — entfernt, damit die relative Biome-Schwelle der Baseline (25) wieder eingehalten wird, ohne die Schwelle anzuheben

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_018N9CD3ebPKm1b32bPpBknY

apps/api/src/auth/auth.service.ts

@@ -404,8 +404,9 @@ export class AuthService {
    * `BadRequestException` nennt weder Halter noch Mandanten. Der Riegel
    * unten schliesst zusaetzlich die Rechteausweitung INNERHALB des
    * Mandanten (T-FH9-04): ein Nicht-SUPER_ADMIN darf das Kennwort eines
-   * SUPER_ADMIN nicht setzen. Der Schwesterweg `PATCH /users/:id` hat
-   * dieselbe Luecke nicht geschlossen — offener Ledger-Eintrag T-FH9-05.
+   * SUPER_ADMIN nicht setzen. Die Schwesterwege `PATCH /users/:id` und
+   * `DELETE /users/:id` tragen seit 260914-ebg (WINDOWS #29) denselben
+   * Riegel in `UserController.update()`/`remove()`.
    */
   async adminResetPassword(
     tenantId: string,