feat(postfach): crm@perinco.de lesend anbinden, Kontakte aus Mails

Spiegelt das Vertriebspostfach ueber Microsoft Graph ins CRM. Aus jeder Mail
entstehen Kontakt-Vorschlaege, und jede Mail laesst sich an Opportunities und
Kontakte haengen.

Uebernommen ist die Idee aus dem Altsystem KeepTrack, nicht die Umsetzung:

- Delta Query statt "$filter=isRead eq false" mit anschliessendem PATCH. Damit
  genuegt die Anwendungsberechtigung Mail.Read, es braucht keinen Schreibzugriff
  auf das Postfach, und eine vorher in Outlook geoeffnete Mail geht nicht
  verloren. Der Fortschritt liegt als delta_link in der Datenbank und ueberlebt
  Neustarts; ein Lauf ist gedeckelt und fortsetzbar.
- Tenant- und Client-ID kommen aus der .env, nicht aus dem Browser. Im
  Altsystem konnte jeder Angemeldete das Server-Secret gegen einen fremden
  Tenant verwenden.
- Kontaktdaten werden aus den Graph-Feldern und der Signatur gelesen, ohne
  Sprachmodell. Mailinhalte verlassen den Server nicht.
- Ein Vorschlag ohne E-Mail-Adresse wird nicht mit einer erfundenen Adresse
  angelegt, sondern bleibt zur Durchsicht liegen. Ist die Adresse schon als
  Kontakt vorhanden, werden nur leere Felder ergaenzt.
- Mails haengen als eigene Verknuepfung an Opportunity und Kontakt, nicht als
  Text im Notizfeld - loesbar und mehrfach moeglich.
- Fremdes Mail-HTML wird serverseitig entschaerft und in einem iframe mit
  sandbox="" gezeigt. Externe Bilder sind per CSP gesperrt, damit das Oeffnen
  dem Absender nichts meldet.
- Der Verbindungstest prueft Anmeldung und tatsaechlichen Postfachzugriff und
  benennt den wahrscheinlichen Grund. Der alte Test holte nur ein Token.

Fehlen die MS_*-Werte, startet das CRM normal; die Einstellungen nennen die
fehlende Variable. Neue Tabellen: crm_mail_messages, crm_mail_links,
crm_mail_contact_candidates, crm_mail_sync_state, crm_settings.

Uebernommene Kontakte tragen source = 'Mail'; die Kontaktliste hat dafuer einen
Herkunftsfilter.

Nicht enthalten: Senden, Antworten, Weiterleiten, Anhaenge und die automatische
Zuordnung zu Opportunities.

npm test im Verzeichnis server prueft Kontaktextraktion und Graph-Client
(47 Pruefungen, ohne Framework und ohne Datenbank).

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/07-anleitung-benutzer.md

@@ -34,6 +34,7 @@ die Scanner-Einstellungen. Alles andere ist fuer beide Rollen gleich.
 │  Opportunities├──────────────────────────────────────────┤
 │  Kalender    │                                           │
 │  Kontakte    │   Inhalt                                  │
+│  Mails       │                                           │
 │  Scanner   ▾ │                                           │
 │   Dashboard  │                                           │
 │   Unpassend  │                                           │
@@ -126,6 +127,72 @@ setzt ihn fest (gruener Punkt), Doppelklick loest ihn wieder. Ueber *Verbindung
 erstellen* zwei Kontakte anklicken, um eine Verbindung anzulegen; `Esc` bricht ab.
 Suche und Statusfilter wirken auch hier.
 
+Sobald Kontakte aus dem Postfach uebernommen wurden, erscheint neben dem
+Statusfilter ein **Herkunftsfilter**: *Aus Mails* zeigt nur die automatisch
+entstandenen, *Selbst angelegt* nur die von Hand erfassten.
+
+## Mails
+
+Das gemeinsame Postfach `crm@perinco.de` liegt hier im CRM. Der Zugriff ist
+**nur lesend** - im Postfach selbst wird nichts veraendert, keine Mail als gelesen
+markiert, nichts geloescht. Antworten geht weiter in Outlook; der Link *In Outlook
+oeffnen* springt direkt zur Mail.
+
+Zwei Reiter oben:
+
+### Postfach
+
+Links die Mailliste, rechts die gewaehlte Mail. Die Kennzeichen an einem
+Listeneintrag sagen, was noch zu tun ist:
+
+| Kennzeichen | Bedeutung |
+| --- | --- |
+| **1x zugeordnet** | haengt an einer Opportunity oder einem Kontakt |
+| **2 Kontakte** | so viele Kontakt-Vorschlaege warten noch auf eine Entscheidung |
+| 📎 | Anhaenge vorhanden (im Postfach, nicht im CRM) |
+
+Das Auswahlfeld filtert die Liste. **Nicht zugeordnet** ist die eigentliche
+Arbeitsliste: alles, was noch nirgends haengt. Die Suche geht ueber Betreff,
+Absender und den kompletten Mailtext; mehrere Woerter wirken als ein Suchbegriff.
+
+**Zuordnen** haengt die Mail an eine Opportunity und/oder einen Kontakt. Der
+Dialog schlaegt oben vor, was zu den Mailadressen passt - ein Klick auf den
+Vorschlag genuegt. Beides gleichzeitig ist moeglich, jede Zuordnung laesst sich
+einzeln wieder mit dem **x** loesen.
+
+Beim Mailinhalt sind externe Bilder zunaechst gesperrt. Das ist Absicht: geladene
+Bilder melden dem Absender, dass die Mail geoeffnet wurde. Ueber *Externe Bilder
+laden* geht es pro Mail. *Groesser* klappt den Inhalt auf, *Nur Text anzeigen*
+zeigt die Rohfassung ohne Formatierung.
+
+Steht an einer Mail **Im Postfach geloescht**, wurde sie in Outlook entfernt. Im
+CRM bleibt sie erhalten, damit Zuordnungen nicht verloren gehen.
+
+### Kontakt-Vorschlaege
+
+Aus Absender, Empfaengerliste und Signatur jeder Mail liest die Anwendung
+Kontaktdaten. Wer eine echte Mailadresse hat und aus Absender oder
+Empfaengerliste stammt, wird **automatisch** Kontakt. Alles Unsichere landet
+hier - typischerweise Personen, die nur mit Telefonnummer im Text genannt werden.
+
+Der Balken rechts ist die Zuversicht: je voller und gruener, je verlaesslicher die
+Angaben. Das Kennzeichen darunter sagt, woher sie stammen (*Absender*,
+*Empfaenger*, *Signatur*, *Im Text genannt*).
+
+Zwei Knoepfe:
+
+* **Als Kontakt anlegen** - es entsteht ein neuer Kontakt mit Herkunft „Mail".
+* **Ergaenzen** (statt „anlegen", wenn **Bereits vorhanden** dransteht) - der
+  vorhandene Kontakt wird um die fehlenden Angaben erweitert. Was schon gepflegt
+  ist, bleibt unangetastet.
+* **Verwerfen** - der Vorschlag verschwindet aus der Liste.
+
+Eigene Kollegen (`@perinco.de`) und Funktionsadressen wie `info@` oder
+`no-reply@` werden nie vorgeschlagen.
+
+Ist die Liste leer und die automatische Uebernahme an, ist das der Normalzustand:
+es gab nichts zu entscheiden.
+
 ## Scanner
 
 Durchsucht Projektboersen und bewertet jeden Fund mit KI gegen die Lebenslaeufe
@@ -223,6 +290,7 @@ Datenbank.
 | --- | --- | --- |
 | **Nutzerverwaltung** | Admin | Benutzer anlegen, bearbeiten, deaktivieren, loeschen |
 | **Mein Konto** | alle | Foto, Kalenderfarbe, Passwort aendern |
+| **Postfach** | Admin | Verbindung zu Microsoft 365, Abgleich, Kontaktuebernahme |
 | **Scanner** | Admin | Suchintervall, Schwellenwerte, KI-Schluessel, Ton, E-Mail |
 | **Whisper** | alle | Spracherkennung fuer das Diktat einrichten |
 
@@ -234,6 +302,16 @@ nicht mehr: kein Lauf im Hintergrund, und *Jetzt scannen* antwortet mit einem
 Hinweis statt zu starten. Der Zustand steht auch oben im Scanner-Dashboard, damit
 man nicht raetselt, warum keine neuen Treffer kommen.
 
+Im Reiter **Postfach** steht oben, ob die Verbindung zu Microsoft 365 steht.
+**Verbindung testen** prueft beides: die Anmeldung *und* den tatsaechlichen
+Zugriff auf `crm@perinco.de`. Schlaegt etwas fehl, nennt die Meldung den
+wahrscheinlichen Grund. Darunter lassen sich Intervall, Zeitraum des ersten
+Durchlaufs und die automatische Kontaktuebernahme einstellen.
+
+Die Zugangsdaten selbst stehen **nicht** in der Oberflaeche, sondern in der
+Serverkonfiguration - sie werden beim Start gelesen. Fehlt einer, sagt die Seite
+welcher.
+
 Foto und Kalenderfarbe werden **sofort** gespeichert, ohne Speichern-Knopf. Der
 letzte aktive Administrator kann sich nicht selbst degradieren oder loeschen -
 das verhindert der Server.
@@ -261,3 +339,7 @@ nicht zum Benutzerkonto.
 | Boerse zeigt „Abgelaufen" | Cookies neu importieren |
 | „Ein Suchlauf laeuft bereits" | kurz warten, es laeuft nur einer zur Zeit |
 | Aendern nicht erlaubt | bei Opportunities darf nur Ersteller, Zustaendiger oder Admin |
+| Keine Mails sichtbar | steht oben ein Hinweisbalken? Sonst Admin bitten, in *Einstellungen → Postfach* die Verbindung zu testen |
+| „Erstabgleich laeuft noch" | aeltere Mails werden in mehreren Durchlaeufen nachgeholt, die Liste waechst noch |
+| Bilder in einer Mail fehlen | *Externe Bilder laden* klicken - sie sind absichtlich gesperrt |
+| Kontakt-Vorschlaege bleiben leer | Normalfall: sichere Vorschlaege werden automatisch uebernommen und tauchen hier nicht auf |