Restrict admin to system management

backend/src/auth.ts

@@ -155,6 +155,15 @@ export function requireAdmin(req: Request, res: Response, next: NextFunction) {
   next();
 }
 
+export function requireUser(req: Request, res: Response, next: NextFunction) {
+  if (req.user?.role !== "user") {
+    res.status(403).json({ error: "Dieser Bereich ist nur für Benutzerkonten vorgesehen" });
+    return;
+  }
+
+  next();
+}
+
 export function currentUser(req: Request) {
   if (!req.user) {
     throw Object.assign(new Error("Nicht angemeldet"), { status: 401 });