fix(PROJ-73): Upload-Job-Status bei Panic + nil-Guards nach GetByUsername

Upload-Job bleibt bei einem Panic im Verarbeitungspfad nicht mehr auf
"running" hängen, sondern zeigt "error" mit generischer Meldung (Panic-
Rohwert nur im Server-Log, ErrMsg geht ans Frontend und könnte sonst
Mail-Inhalt-Fragmente transportieren). Zusätzlich fail-closed nil-Guards
an allen 13 GetByUsername-Aufrufstellen in internal/api/, die das
Ergebnis bisher ungeprüft dereferenzierten.

Verifiziert auf 192.168.1.132: Build und go vet fehlerfrei für die
geänderten Dateien.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019j28kGcaJAhBnrYX34hGdt

internal/api/export.go

@@ -370,7 +370,7 @@ func (s *Server) handleExportPDF(w http.ResponseWriter, r *http.Request) {
 	// user: only own mails; domain_auditor: all tenant mails (no filter)
 	if sess.Role == userstore.RoleUser {
 		u, err := s.users.GetByUsername(sess.Username)
-		if err != nil || !mailBelongsToUser(pm, u.Email) {
+		if err != nil || u == nil || !mailBelongsToUser(pm, u.Email) {
 			writeError(w, http.StatusForbidden, "access denied")
 			return
 		}
@@ -469,7 +469,7 @@ func (s *Server) handleExportZIP(w http.ResponseWriter, r *http.Request) {
 	var userEmail string
 	if sess.Role == userstore.RoleUser {
 		u, err := s.users.GetByUsername(sess.Username)
-		if err != nil {
+		if err != nil || u == nil {
 			writeError(w, http.StatusInternalServerError, "user lookup failed")
 			return
 		}