feat(PROJ-70): Self-Service IMAP-Rückholung (Backend)

Neuer Opt-in-Endpunkt, mit dem User archivierte Mails per IMAP APPEND
zurück in ihr eigenes externes Postfach (INBOX) kopieren können. Das
Archiv selbst bleibt read-only (nur storage.Load(), kein Schreibzugriff
auf internal/imapserver).

- PATCH /api/auth/imap-restore: Opt-in-Flag umschalten, Aktivierung
  erfordert Passwort-Reverifikation.
- POST /api/mails/{id}/restore: lädt Mail lesend, prüft Mail- und
  Account-Ownership in restoreAccessAllowed() (PROJ-61-Muster), APPEND
  via neuer internal/imap/append.go, kein Admin-Override.
- Audit-Log-Eintrag (EventRestore) pro Versuch, erfolgreich und
  fehlgeschlagen.
- imap_restore_enabled-Spalte (default false) via idempotenter
  initSchema-Migration.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

internal/api/server.go

@@ -315,6 +315,12 @@ func (s *Server) routes() {
 	s.mux.HandleFunc("GET /api/imap/{id}/progress", s.auth(s.handleImapProgress))
 	s.mux.HandleFunc("POST /api/imap/{id}/sync", s.auth(s.handleSyncNow))
 
+	// PROJ-70: Self-Service IMAP-Rückholung. Toggle requires re-auth; restore is
+	// gated on the opt-in flag and enforces mail+account ownership. requireMailAccess
+	// keeps admins/superadmins out (they must not read/restore mail content).
+	s.mux.HandleFunc("PATCH /api/auth/imap-restore", s.auth(s.handleSetRestoreEnabled))
+	s.mux.HandleFunc("POST /api/mails/{id}/restore", s.auth(s.requireMailAccess(s.handleRestoreMail)))
+
 	// POP3 routes (accessible to all authenticated users)
 	s.mux.HandleFunc("GET /api/pop3", s.auth(s.handleListPop3))
 	s.mux.HandleFunc("POST /api/pop3", s.auth(s.handleCreatePop3))