fix(PROJ-55): Tenant-Isolation für Rolle "auditor" + Audit-Log korrigieren

Kritischer Sicherheitsbug: Auditoren mit zugewiesenem Tenant sahen Mails
und Audit-Log-Einträge anderer Tenants (DSGVO-relevant). auditor wird
jetzt analog zu domain_auditor pro Tenant gescoped, sofern tenant_id
gesetzt ist (Abwärtskompatibilität: ohne tenant_id bleibt der bisherige
globale Zugriff erhalten). Betrifft Mail-Suche, Mail-Detailzugriff,
Export, eDiscovery, Threads, OCR sowie das Audit-Log (DB + tamper-evidentes
Flat-File), inkl. Befüllung von tenant_id an allen Audit-Log-Schreibstellen.

internal/api/ocr_handlers.go

@@ -38,8 +38,10 @@ func (s *Server) handleGetOCRText(w http.ResponseWriter, r *http.Request) {
 		}
 	}
 
-	// Auditor: only mails with no tenant assignment.
-	if sess.Role == userstore.RoleAuditor {
+	// Global auditor (no tenant_id): only mails with no tenant assignment.
+	// A tenant-scoped auditor is already constrained by the tenant-isolation
+	// block above (sess.TenantID != nil) — PROJ-55.
+	if auditorIsGlobal(sess) {
 		ok, err := s.store.IsWithoutTenant(r.Context(), id)
 		if err != nil || !ok {
 			writeError(w, http.StatusForbidden, "access denied")
@@ -143,6 +145,7 @@ func (s *Server) handleGetOCRText(w http.ResponseWriter, r *http.Request) {
 	s.audlog.Log(audit.Entry{
 		EventType: audit.EventOCRDownload,
 		Username:  sess.Username,
+		TenantID:  sess.TenantID,
 		IPAddress: s.remoteIP(r),
 		MailID:    id,
 		Success:   true,