feat(postfach): crm@perinco.de lesend anbinden, Kontakte aus Mails

Spiegelt das Vertriebspostfach ueber Microsoft Graph ins CRM. Aus jeder Mail
entstehen Kontakt-Vorschlaege, und jede Mail laesst sich an Opportunities und
Kontakte haengen.

Uebernommen ist die Idee aus dem Altsystem KeepTrack, nicht die Umsetzung:

- Delta Query statt "$filter=isRead eq false" mit anschliessendem PATCH. Damit
  genuegt die Anwendungsberechtigung Mail.Read, es braucht keinen Schreibzugriff
  auf das Postfach, und eine vorher in Outlook geoeffnete Mail geht nicht
  verloren. Der Fortschritt liegt als delta_link in der Datenbank und ueberlebt
  Neustarts; ein Lauf ist gedeckelt und fortsetzbar.
- Tenant- und Client-ID kommen aus der .env, nicht aus dem Browser. Im
  Altsystem konnte jeder Angemeldete das Server-Secret gegen einen fremden
  Tenant verwenden.
- Kontaktdaten werden aus den Graph-Feldern und der Signatur gelesen, ohne
  Sprachmodell. Mailinhalte verlassen den Server nicht.
- Ein Vorschlag ohne E-Mail-Adresse wird nicht mit einer erfundenen Adresse
  angelegt, sondern bleibt zur Durchsicht liegen. Ist die Adresse schon als
  Kontakt vorhanden, werden nur leere Felder ergaenzt.
- Mails haengen als eigene Verknuepfung an Opportunity und Kontakt, nicht als
  Text im Notizfeld - loesbar und mehrfach moeglich.
- Fremdes Mail-HTML wird serverseitig entschaerft und in einem iframe mit
  sandbox="" gezeigt. Externe Bilder sind per CSP gesperrt, damit das Oeffnen
  dem Absender nichts meldet.
- Der Verbindungstest prueft Anmeldung und tatsaechlichen Postfachzugriff und
  benennt den wahrscheinlichen Grund. Der alte Test holte nur ein Token.

Fehlen die MS_*-Werte, startet das CRM normal; die Einstellungen nennen die
fehlende Variable. Neue Tabellen: crm_mail_messages, crm_mail_links,
crm_mail_contact_candidates, crm_mail_sync_state, crm_settings.

Uebernommene Kontakte tragen source = 'Mail'; die Kontaktliste hat dafuer einen
Herkunftsfilter.

Nicht enthalten: Senden, Antworten, Weiterleiten, Anhaenge und die automatische
Zuordnung zu Opportunities.

npm test im Verzeichnis server prueft Kontaktextraktion und Graph-Client
(47 Pruefungen, ohne Framework und ohne Datenbank).

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/02-datenmodell.md

@@ -4,7 +4,7 @@ Zwei Datenbanken, absichtlich getrennt:
 
 | Datenbank | Inhalt | Zugriff |
 | --- | --- | --- |
-| `perinco_CRM` | Benutzer, Kontakte, Opportunities, Termine | `mysql2` direkt, Schema aus `server/src/schema.sql` |
+| `perinco_CRM` | Benutzer, Kontakte, Opportunities, Termine, Postfach, Einstellungen | `mysql2` direkt, Schema aus `server/src/schema.sql` |
 | `perinco_scanner` | Suchagenten, Portale, Projekte, Treffer, Scanner-Einstellungen | Sequelize, Schema aus den Modellen (`sequelize.sync()`) |
 
 Die Trennung ist kein Zufall: die Scanner-Tabellen sind eine 1:1-Uebernahme aus
@@ -95,6 +95,88 @@ Drei Eigenheiten, die man kennen muss:
   Bild vor dem Upload auf 256 px (`src/lib/imageCompress.ts`), aus 2,9 MB werden
   wenige Kilobyte.
 
+### Postfach crm@perinco.de
+
+Diese Tabellen liegen in derselben Datenbank, haengen aber nur ueber
+`crm_mail_links` und `crm_mail_contact_candidates.lead_id` am Rest. Fachliche
+Beschreibung in [11 Postfachanbindung](11-postfach.md).
+
+```mermaid
+erDiagram
+    crm_mail_messages ||--o{ crm_mail_links : hat
+    crm_mail_messages ||--o{ crm_mail_contact_candidates : liefert
+    crm_leads ||--o{ crm_mail_links : "lead_id"
+    crm_opportunities ||--o{ crm_mail_links : "opportunity_id"
+    crm_leads ||--o{ crm_mail_contact_candidates : "lead_id, nach Uebernahme"
+
+    crm_mail_messages {
+        int id PK
+        varchar graph_id "Id aus Microsoft Graph"
+        char graph_id_hash UK "SHA-256 hex, traegt die Eindeutigkeit"
+        varchar conversation_id "Unterhaltung"
+        varchar subject
+        varchar from_email
+        longtext to_json "[{name,email}] als Text"
+        datetime received_at "UTC"
+        longtext body_text "aus HTML gewandelt, Zeilen erhalten"
+        longtext body_html "entschaerft fuer die Anzeige"
+        tinyint has_attachments
+        tinyint is_deleted "im Postfach geloescht"
+    }
+    crm_mail_links {
+        int id PK
+        int message_id FK
+        int lead_id FK "NULL erlaubt"
+        int opportunity_id FK "NULL erlaubt"
+        enum origin "manuell | automatisch"
+        varchar note
+        int created_by FK
+    }
+    crm_mail_contact_candidates {
+        int id PK
+        int message_id FK
+        char dedupe_hash "aus E-Mail bzw. Name+Telefon"
+        varchar first_name
+        varchar last_name
+        varchar email
+        varchar company
+        enum origin "absender | empfaenger | signatur | text"
+        tinyint confidence "0-100"
+        enum status "offen | uebernommen | verworfen | dublette"
+        int lead_id FK "gesetzt ab uebernommen"
+    }
+    crm_mail_sync_state {
+        tinyint id PK "immer 1"
+        varchar mailbox
+        text delta_link "naechster Graph-Aufruf"
+        tinyint has_more "nextLink offen"
+        datetime last_run_at
+        datetime last_success_at
+        text last_error
+    }
+    crm_settings {
+        varchar key_name PK
+        text value "alles als Text, auch Zahlen und Schalter"
+    }
+```
+
+Vier Eigenheiten:
+
+- **Die Graph-ID hat einen Hash daneben.** Sie ist mit ueber 150 Zeichen zu lang
+  fuer einen Unique-Index unter `utf8mb4`; die Eindeutigkeit traegt deshalb
+  `graph_id_hash` (SHA-256 als Hex, `CHAR(64)`).
+- **`received_at` steht in UTC**, anders als `crm_events.starts_at` (lokale
+  Wandzeit). Graph liefert UTC, und eine stille Umrechnung beim Speichern waere
+  eine Fehlerquelle. Das Frontend rechnet um (`parseMailDate` in
+  `src/lib/mailApi.ts`).
+- **`crm_mail_links` erlaubt NULL in beiden Fremdschluesseln.** MariaDB laesst in
+  einem Unique-Index mehrere NULL zu - die beiden Schluessel sperren damit genau
+  die Doppelung desselben Paares, und eine Mail kann an mehreren Kontakten und
+  mehreren Opportunities haengen.
+- **`crm_settings` enthaelt keine Geheimnisse.** Zugangsdaten fuer Microsoft 365
+  stehen ausschliesslich in `server/.env`, damit ein Datenbank-Dump keine Secrets
+  enthaelt.
+
 ## perinco_scanner
 
 ```mermaid