Gesamtprojekt: Nachtrag 42 -- RTE-04, QA-01, RBAC-12 gemergt

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

docs/GESAMTPROJEKT-PRUEFPROTOKOLL.md

@@ -1071,3 +1071,30 @@ Vier PRs nach `main` gemerged, konfliktfrei (`ort`-Strategie):
 **Neuer main-Head:** `b1aa5c897ca2a2847f5d56ec5301a7f13e304b88` (vorher `cfe6a298`).
 
 Kein Deploy (Rollout auf 131 separat, nicht angefasst). PR #206 (INT-21 Android-App) unangetastet, wird separat weiterbearbeitet.
+
+## Nachtrag 42 (2026-09-26) — RTE-04, QA-01, RBAC-12 gemergt
+
+Drei PRs nach `main` gemerged, konfliktfrei:
+- PR #211 (workflow RTE-04, Testlauf/Simulation von Routing-Regeln)
+- PR #212 (ai QA-01, Teststrategie AI: Referenzkorpus + Pflichttest-Gate)
+- PR #213 (core RBAC-12, echter Rechte-Katalog für Mail/Workflow/AI/Connect/Core-Admin — Migration `0018_module_policy_rules`, 16 neue Rechte, echte Durchsetzung für Mail/Connect verdrahtet und getestet, Workflow/AI/Core-Admin bewusst nur mit Katalog-Eintrag ohne scharfe Durchsetzung, ehrlich als offen vermerkt)
+
+Verifikation komplett grün auf Host 204 (frischer Klon `/root/rbac12-merge`):
+- `go build`/`go vet` sauber für root-Modul, workflow, ai, connect, mail
+- `check-port-defaults.sh`: PASS
+- `e2e-core-dms.sh`: PASS (`TestCoreE2E_TokenJWKSAndPolicy`, 10/10 Unterfälle)
+- `gesamt-token-smoke.sh`: **45/45 bestanden, GESAMT-FEHLER=0**, Rückbau-Snapshot identisch
+- `migrations-fresh-check.sh`: bricht an bekannter, vorbestehender `TEST_TENANT_DSN_B`-Umgebungslücke ab (keine Regression, wie in früheren Nachträgen dokumentiert)
+
+Migrationskollision `workflow/migrations/tenant/0004` (drei verschiedene Migrationen, gleiche Nummer) bewusst nicht angefasst — bekannt, harmlos (Tracking per vollständigem Dateinamen, nicht Nummer), keine neue Kollision durch diesen Merge eingeführt.
+
+**Neuer main-Head:** `<<<HEAD>>>` (vorher `e0040ec8`). Kein Deploy — Rollout auf 131 separat, nicht angefasst. PR #206 (INT-21 Android-App) läuft unabhängig weiter, nicht angefasst.
+
+**Neue Rechte-Schlüssel aus RBAC-12** (Migration `0018_module_policy_rules.up.sql`, real ausgelesen):
+- Mail: `mail.message.read`, `mail.rule.read`, `mail.rule.write`
+- Workflow: `workflow.approval.read`, `workflow.approval.write`, `workflow.case.read`, `workflow.routingrule.read`, `workflow.routingrule.write`
+- AI: `ai.summary.read`, `ai.extraction.read`, `ai.search.read`
+- Connect: `connect.status.read`, `connect.datev.read`, `connect.datev.write`
+- Core-Admin: `core.tenant.read`, `core.tenant.admin`
+
+(Echte Durchsetzung real nur für Mail (`mail.message.read`) und Connect (`connect.status.read`) getestet.)