feat(auth): Anmeldung ueber Microsoft Entra (SSO)

OpenID Connect mit Authorization Code Flow und PKCE, vollstaendig
serverseitig - der Browser sieht weder Tenant- noch Client-ID. Genutzt wird
dieselbe App-Registrierung wie die Postfachanbindung, also kein zweites
Secret; delegiert statt app-only.

Nach dem Token-Tausch beweist ein Aufruf von /me bei Graph, dass das
Zugriffstoken gilt, und liefert die Objekt-ID. Sie landet in der neuen Spalte
crm_users.entra_oid und ist danach die stabile Verknuepfung - die E-Mail-
Adresse eines Menschen kann sich aendern, die Objekt-ID nicht.

Bewusst so entschieden:
  - Es werden keine Konten angelegt. Wer kein CRM-Konto mit derselben Adresse
    hat, wird abgewiesen; Zugriff vergibt weiter die Nutzerverwaltung.
  - Die Anmeldung mit Benutzername und Passwort bleibt fuer alle bestehen -
    Notzugang, falls Entra oder das Secret ausfaellt.
  - Das CRM-Token kommt als Einmal-Ticket zurueck, nicht in der Adresszeile:
    die Rueckleitung ist ein GET und stuende sonst in Browserverlauf und
    Apache-Log.
  - Keine Signaturpruefung des ID-Tokens und damit keine JWKS-Bibliothek. Es
    kommt ueber TLS direkt vom Token-Endpunkt (OIDC Core 3.1.3.7); geprueft
    werden aud, tid, nonce und exp, und der Graph-Aufruf belegt den Rest.

Ohne MS_SSO_ENABLED=true bleibt alles aus und die Anmeldemaske sieht aus wie
bisher.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/05-frontend.md

@@ -33,8 +33,9 @@ flowchart TD
     E --> E1["Nutzerverwaltung (admin)"]
     E --> E2["Mein Konto"]
     E --> E3["Postfach (admin)"]
-    E --> E4["Scanner (admin)"]
-    E --> E5["Whisper"]
+    E --> E4["Anmeldung (admin)"]
+    E --> E5["Scanner (admin)"]
+    E --> E6["Whisper"]
 ```
 
 *Postfach* und *Kontakt-Vorschläge* sind Reiter **innerhalb** der Ansicht
@@ -127,7 +128,7 @@ src/
                               Vorbereich "Aus Mails" mit Dublettenabgleich
     mail/                     Postfachliste, Detail, Zuordnung, Kontakt-Vorschläge
     scanner/                  Dashboard, Unpassend, Suchagenten, Börsen-Konten
-    settings/                 Reiter: Nutzerverwaltung, Konto, Postfach, Scanner, Whisper
+    settings/                 Reiter: Nutzerverwaltung, Konto, Postfach, Anmeldung, Scanner, Whisper
     whisper/                  Einrichtung der Spracherkennung
     ui/                       Modal, Avatare, Diktatfeld
 ```