feat(backend): multi-tenant refactor + Geraete + Kundenbilder

Middleware:
- requireTenant prueft tenant_id, Status und Demo-Ablauf (autom. Status-Update)
- requireSuperAdmin fuer cross-tenant Endpoints
- JWT enthaelt jetzt tenant_id

Auth:
- Login: SuperAdmin (tenant_id=NULL) ODER tenant-scoped User
- Demo-Ablaufs-Check beim Login

Neue Routes:
- /api/tenants  (SuperAdmin: Demo-Accounts anlegen mit 30-Tage-Default,
                 Mail-Invite via Resend, Sample-Daten-Seed automatisch,
                 verlaengern, deaktivieren)
- /api/geraete  (Seriennummern-Verwaltung mit Kunde-Zuordnung)
- /api/kunden-bilder/:kunde_id (Foto-Upload, max 5/Kunde)

Bestehende Routes:
- alle tenant_id-scoped (SELECT/UPDATE/DELETE)
- kunden: anlieferungshinweis + lieferzeit_bis Felder
- Cross-tenant-Refs (kunde_id/artikel_id) werden gegen Tenant validiert

Lib:
- lib/mail.js (Resend, mit Dev-Fallback)
- lib/seed.js (5 Kunden, 3 Artikel, 6 Lieferungen, 2 Geraete)
- scripts/bootstrap.js (legt SuperAdmin aus env-Vars beim Start an)

server.js: neue Routes + bootstrap-Call

backend/middleware/auth.js

@@ -1,8 +1,12 @@
 import jwt from 'jsonwebtoken';
+import pool from '../config/database.js';
 
+// Verifiziert JWT und stellt req.user bereit
+// req.user enthaelt: { id, email, name, rolle, tenant_id }
+// tenant_id ist NULL fuer SuperAdmins.
 export const authenticateToken = (req, res, next) => {
   const authHeader = req.headers['authorization'];
-  const token = authHeader && authHeader.split(' ')[1]; // Bearer TOKEN
+  const token = authHeader && authHeader.split(' ')[1];
 
   if (!token) {
     return res.status(401).json({ error: 'Kein Token bereitgestellt' });
@@ -10,23 +14,52 @@ export const authenticateToken = (req, res, next) => {
 
   jwt.verify(token, process.env.JWT_SECRET, (err, user) => {
     if (err) {
-      return res.status(403).json({ error: 'Ungültiger oder abgelaufener Token' });
+      return res.status(403).json({ error: 'Ungueltiger oder abgelaufener Token' });
     }
     req.user = user;
     next();
   });
 };
 
-export const requireRole = (roles) => {
-  return (req, res, next) => {
-    if (!req.user) {
-      return res.status(401).json({ error: 'Nicht authentifiziert' });
+// Stellt sicher, dass der User einen Tenant hat und der Tenant aktiv ist.
+// SuperAdmins ohne Tenant werden mit 403 abgelehnt (sollen tenants-Route nutzen).
+export const requireTenant = async (req, res, next) => {
+  if (!req.user) return res.status(401).json({ error: 'Nicht authentifiziert' });
+  if (!req.user.tenant_id) {
+    return res.status(403).json({ error: 'Tenant-Kontext erforderlich (SuperAdmin nicht erlaubt)' });
+  }
+  try {
+    const [rows] = await pool.query(
+      'SELECT id, status, demo_expires_at, typ FROM tenants WHERE id = ?',
+      [req.user.tenant_id]
+    );
+    if (rows.length === 0) return res.status(403).json({ error: 'Tenant nicht gefunden' });
+    const t = rows[0];
+    if (t.status !== 'aktiv') return res.status(403).json({ error: `Tenant-Status: ${t.status}` });
+    if (t.typ === 'demo' && t.demo_expires_at && new Date(t.demo_expires_at) < new Date()) {
+      await pool.query("UPDATE tenants SET status='abgelaufen' WHERE id = ?", [t.id]);
+      return res.status(403).json({ error: 'Demo-Zugang abgelaufen' });
     }
-    
-    if (!roles.includes(req.user.rolle)) {
-      return res.status(403).json({ error: 'Keine Berechtigung' });
-    }
-    
+    req.tenant = t;
     next();
-  };
+  } catch (e) {
+    console.error('requireTenant-Fehler:', e);
+    res.status(500).json({ error: 'Serverfehler' });
+  }
+};
+
+export const requireRole = (roles) => (req, res, next) => {
+  if (!req.user) return res.status(401).json({ error: 'Nicht authentifiziert' });
+  if (!roles.includes(req.user.rolle)) {
+    return res.status(403).json({ error: 'Keine Berechtigung' });
+  }
+  next();
+};
+
+export const requireSuperAdmin = (req, res, next) => {
+  if (!req.user) return res.status(401).json({ error: 'Nicht authentifiziert' });
+  if (req.user.rolle !== 'superadmin') {
+    return res.status(403).json({ error: 'SuperAdmin erforderlich' });
+  }
+  next();
 };