hmm das stimmt... müsste man mal checken, ob aufgrund der sicherheitsaspekte das `session_destroy()` nötig ist...

Ich vermute eher nicht, da es ja prinzipiell darum geht, wenn ein user neue rechte erlangt, dass er eine neue session id bekommt... ob die neue session die werte der alten hat ist denke ich kein problem.