auth. session-handling funktioniert.