feat(PROJ-46): E-Mail als primärer Login-Identifier für Tenant-User

Tenant-User (tenant_id IS NOT NULL) melden sich künftig per E-Mail an statt
per Username — behebt Verwechslungen wie im Support-Fall vom 2026-06-13
(Login schlug trotz Passwort-Reset fehl, weil E-Mail statt Username
verwendet wurde). Nicht-Tenant-User (Superadmin/System) können weiterhin
Username ODER E-Mail nutzen.

Neue Store.VerifyLogin() prüft erst per E-Mail (alle User), fällt dann auf
Username zurück (nur tenant_id IS NULL). VerifyPassword() bleibt für den
IMAP-Server-Login-Pfad (PROJ-26) unverändert. Bewusster Breaking Change für
Tenant-User, Datenqualität vorab geprüft (0 Kollisionen).

Security-Nachtrag: bcrypt-Dummy-Compare im "user not found"-Pfad ergänzt,
um Timing-basierte Identifier-Enumeration zu verhindern.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

internal/auth/auth.go

@@ -74,7 +74,9 @@ func (m *Manager) SetTenantLDAP(tenantLdapStore *ldapcfg.TenantStore, tenantLook
 // short-lived pending token that can only be used with ValidateTOTPLogin.
 func (m *Manager) Login(username, password string) (token string, user *userstore.User, totpRequired bool, err error) {
 	// 1. Try local authentication first.
-	user, err = m.store.VerifyPassword(username, password)
+	// PROJ-46: VerifyLogin lets tenant users authenticate by email and keeps
+	// username-login working only for non-tenant users (tenant_id IS NULL).
+	user, err = m.store.VerifyLogin(context.Background(), username, password)
 	if err == nil {
 		if user.TOTPEnabled {
 			t, e := m.issuePendingTOTPToken(user)