feat(meldungen): Benachrichtigungen per Mail und Webhook (#54)

Ein zugewiesener Lauf fiel bisher nur auf, wenn jemand die Uebersicht
oeffnete; ein ueberfaelliger ueberhaupt nicht. Vier Anlaesse gehen jetzt
hinaus — zugewiesen, ueberfaellig, abgeschlossen und Verzeichnisabgleich
fehlgeschlagen —, je Person abschaltbar. Niemand bekommt Post ueber die
eigene Tat: das ist der haeufigste Grund, Benachrichtigungen ganz
abzuschalten, und deshalb faellt der Handelnde immer aus der
Empfaengerliste.

Eingereiht wird im Anfrage-Pfad, gesendet wird es nicht. Ein haengender
Mailserver darf kein Abhaken blockieren, also schreibt der Dienst eine
Zeile in `Zustellung` und ein eigener Zeitplan schickt sie. Betreff und
Rumpf stehen fertig darin: eine Meldung sagt, was *damals* war.

In keiner Nachricht steht ein Schrittinhalt, und damit auch kein
erzeugtes Passwort. Darueber wacht src/lib/meldungen.ts — die Funktionen
dort nehmen nur Kopfdaten, der Typ laesst nichts anderes zu. Geprueft
wird es zusaetzlich ueber alle Rumpftexte, die wirklich verschickt
wurden, so wie #012 es fuer die Druckansicht tat.

Zwei Dinge haetten ohne Datenbank nicht gehalten. Die Einmaligkeit der
Ueberfaelligkeitsmeldung liegt in einem partiellen eindeutigen Index:
der Zeitplan sieht jede Minute nach, und ohne ihn bekaeme der
Zustaendige fuer einen Lauf, der ueber das Wochenende steht, 2880
Mails — jede fuer sich korrekt, kein Test rot. Und die Sperre der
Warteschlange liegt in derselben Tabelle wie die des Abgleichs, denn
hinter einem Lastverteiler laufen zwei Instanzen.

Eine stille Warteschlange ist schlimmer als keine: Verwaltung →
Zustellungen zeigt mit Grund, was hinausging und was nicht.

Geprueft gegen einen echten SMTP-Faenger (mailpit) statt gegen eine
abgefangene Funktion — und `mailpit` gehoert damit ins Tor vor dem
Commit, sonst ueberspringt die Suite 3 Tests und sieht gruen aus.

Closes #54

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/devlog.md

@@ -32,12 +32,13 @@ als Unterpunkte mit Aufgabe und Dauer.
 | #031 | M18 – Abteilungsspezifische Zusatzabschnitte | 1 h 35 min |
 | #032 | M19 – Anhänge und Fotos an Schritten | 3 h 05 min |
 | #033 | M20 – Live-Aktualisierung per SSE statt Polling | 1 h 40 min |
-| | **Summe** | **50 h 05 min** |
+| #034 | M21 – Benachrichtigungen per Mail und Webhook | 3 h 30 min |
+| | **Summe** | **53 h 35 min** |
 
 | Meilenstein | Tatsächlich | Status |
 |---|---|---|
 | v0.1.0 | 35 h 20 min | veröffentlicht |
-| v0.2.0 | 14 h 45 min | in Arbeit |
+| v0.2.0 | 18 h 15 min | in Arbeit |
 
 ---
 
@@ -1239,3 +1240,65 @@ und nicht nach jeder einzelnen — das ist der Grund, warum er alles auf einmal
   jetzt stehen. Danach **M22 (#035)** Selbstauskunft.
 - **M15 (#028)** Graph-Quelle und **M16 (#029)** SCIM sind die beiden großen verbliebenen.
 - Weiter offen und nicht von hier aus machbar: **#024** Proxmox-Einzeiler auf einem echten PVE-Host.
+
+---
+
+## 2026-10-05 · Sitzung 19 · 10:45–14:15
+
+**Issue:** #034 (M21)
+**Version:** 0.2.0 (unveröffentlicht)
+
+### Erledigt
+
+- **Vier Anlässe gehen hinaus**, per Mail über SMTP und optional per Webhook mit
+  HMAC-SHA256-Signatur. Je Person abschaltbar, und niemand bekommt Post über die eigene Tat.
+- **Eine Warteschlange in der Datenbank**, abgearbeitet von einem eigenen Zeitplan im selben
+  Prozess. Fehlschläge nach 1, 5, 30 und 120 Minuten wiederholt, danach sichtbar aufgegeben.
+- **Verwaltung → Zustellungen** zeigt, was hinausging und was nicht, mit Grund.
+- 1302 Vitest-Tests (vorher 1266), davon 36 neue — **gegen einen echten SMTP-Fänger** (mailpit),
+  nicht gegen eine abgefangene Funktion.
+- Im gebauten Stand gefahren: SMTP eingetragen, Testmail angekommen, ein überfälliger Lauf angelegt,
+  und der Zeitplan hat die Meldung **von selbst** verschickt.
+
+### Entscheidungen
+
+- **Eingereiht im Anfrage-Pfad, gesendet vom Zeitplan.** Ein hängender Mailserver darf kein Abhaken
+  blockieren. Das Einreihen passiert nach der Transaktion und mit abgefangenem Fehler.
+- **Betreff und Rumpf stehen fertig in der Zeile.** Eine Meldung sagt, was *damals* war; würde der
+  Text erst beim Senden gebaut, stünde in einer Mail von heute der Stand von jetzt.
+- **Die Texte liegen in `src/lib/meldungen.ts` und nehmen nur Kopfdaten.** Der Typ lässt keinen
+  Schrittinhalt zu — das ist die Absicht, und es ist die einzige Stelle, die man dafür ändern müsste.
+- **Die Sperre wurde aus dem Abgleich herausgezogen** nach `services/sperre.ts`. Zwei Fassungen
+  derselben Mechanik wären die schlechteste aller Lösungen.
+- **Die Mandantengrenze gilt auch für Empfänger.** Ohne diese Prüfung wäre die Benachrichtigung der
+  eine Weg nach draußen, den `sichtbareKundenIds` nicht abdeckt.
+
+### Probleme
+
+- **pnpm wollte eine Sicherheitsregel umgehen, und ich hätte es fast committet.** `pnpm add
+  nodemailer` trug von sich aus `minimumReleaseAgeExclude: nodemailer@10.0.15` in
+  `pnpm-workspace.yaml` ein — die Version war **vom selben Tag**. Das ist kein Formfehler, sondern
+  genau die Warnung, vor der die Regel schützt. Gepinnt ist jetzt `10.0.10` vom 14. September, die
+  Ausnahme ist weg, und die Konvention steht in `CLAUDE.md`. Aufgefallen beim Durchsehen des Diffs,
+  nicht durch einen Test — eine Zeile in einer Datei, die man leicht übersieht.
+- **Drei Tests waren stillschweigend übersprungen.** `it.runIf(mailpitDa)` wird beim **Einlesen** der
+  Datei ausgewertet; mein Flag stand in `beforeAll` und kam zu spät. Der erste Lauf meldete
+  „3 skipped“, war grün — und hatte den echten SMTP-Dialog nie geprüft. Genau das Muster, das
+  `ldap` in #019 schon einmal gekostet hat. `mailpit` steht jetzt im Tor vor dem Commit, und
+  `pruefe:doku` erzwingt es; gegengeprobt.
+- **Die Wartezeiten waren um eins verschoben.** Nach dem ersten Fehlschlag wartete meine erste
+  Fassung fünf Minuten statt einer. Der Test hat es sofort gezeigt — und die Umbenennung des
+  Parameters auf `versucheGesamt` macht die Semantik jetzt lesbar.
+- **Zwei Knöpfe „Speichern“ auf einer Seite**, beim Durchklicken gefunden. Der neue heißt jetzt
+  „Benachrichtigungen speichern“.
+- **Drei eigene Testfehler**, keine Produktfehler: die `Verzeichnisquelle` hat `url`, nicht
+  `host`/`port`; `Lauf` mit Status `ABGESCHLOSSEN` braucht `abgeschlossenAm` (die Datenbank verlangt
+  es); und ein fester Testzeitpunkt lag **vor** der echten Einreihung, sodass der Durchgang die
+  Zeile gar nicht erst anfasste.
+
+### Nächster Schritt
+
+- **M22 (#035)** Mitarbeiter-Selbstauskunft — dort kommt auch die Profilseite, auf der jeder seine
+  eigenen Benachrichtigungen abschalten kann.
+- **M15 (#028)** Graph-Quelle und **M16 (#029)** SCIM sind die beiden großen verbliebenen.
+- Weiter offen und nicht von hier aus machbar: **#024** Proxmox-Einzeiler auf einem echten PVE-Host.