fix(PROJ-73): Upload-Job-Status bei Panic + nil-Guards nach GetByUsername

Upload-Job bleibt bei einem Panic im Verarbeitungspfad nicht mehr auf
"running" hängen, sondern zeigt "error" mit generischer Meldung (Panic-
Rohwert nur im Server-Log, ErrMsg geht ans Frontend und könnte sonst
Mail-Inhalt-Fragmente transportieren). Zusätzlich fail-closed nil-Guards
an allen 13 GetByUsername-Aufrufstellen in internal/api/, die das
Ergebnis bisher ungeprüft dereferenzierten.

Verifiziert auf 192.168.1.132: Build und go vet fehlerfrei für die
geänderten Dateien.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019j28kGcaJAhBnrYX34hGdt

internal/api/restore_handlers.go

@@ -40,7 +40,7 @@ func (s *Server) handleSetRestoreEnabled(w http.ResponseWriter, r *http.Request)
 	}
 
 	user, err := s.users.GetByUsername(sess.Username)
-	if err != nil {
+	if err != nil || user == nil {
 		s.logger.Error("restore_toggle: user not found", "err", err, "username", sess.Username)
 		writeError(w, http.StatusInternalServerError, "user not found")
 		return
@@ -137,7 +137,7 @@ func (s *Server) handleRestoreMail(w http.ResponseWriter, r *http.Request) {
 	}
 
 	user, err := s.users.GetByUsername(sess.Username)
-	if err != nil {
+	if err != nil || user == nil {
 		writeError(w, http.StatusInternalServerError, "user lookup failed")
 		return
 	}