SRC-08: gespeicherte-suchanfragen

Gespeicherte Suchanfragen: Suchkriterien inklusive aktiver Filter
benannt speichern und live wiederausführen.

- savedsearch/store.go: Postgres-Store, Save (Upsert über tenant_slug/
  user_id/name), List/Get streng auf Mandant+Benutzer beschränkt,
  Delete entfernt genau eine Zeile. Execute führt jede Ausführung LIVE
  gegen search.Client aus, kein eingefrorener Snapshot.
- search/facets.go: kleinste nötige Erweiterung — Client.SearchWithFilters
  (gemeinsame buildFilteredMust-Hilfsfunktion mit Facets extrahiert)
  liefert tatsächlich gefilterte Treffer statt nur Zählungen, sonst gäbe
  es keinen echten Weg, gespeicherte Filter beim Wiederausführen
  anzuwenden.

Prüfungen (alle real durchgeführt, siehe mail/docs/SRC-08-PRUEFPROTOKOLL.md):
1. TestExecute_SavedSearchWithMultipleFiltersReproducesCorrectly: 2
   kombinierte Filter liefern real genau das eine passende Dokument.
2. TestList_UserSeesNoOtherTenantsSavedSearches: Mandant B sieht real
   keine gespeicherten Suchen von Mandant A.
3. TestDelete_RemovesOnlyThatSavedSearch: Löschen entfernt real nur die
   eine gespeicherte Suche, die andere bleibt unverändert.

Kein Umbau: Search/Index/Delete-Verhalten sonst unverändert,
dedup/indexworker/storage/crypto/encstorage unverändert.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HhgFcLS8tYMhDJpP74C6AQ

mail/docs/ARC-08-PRUEFPROTOKOLL.md

@@ -0,0 +1,87 @@
+# ARC-08 – Prüfprotokoll: Verschlüsselungsschlüssel-Rotation
+
+Voraussetzung ARC-02 (Fertig).
+
+## Architektur-Ausgangslage (real geprüft)
+
+Core (API-10, `internal/kek.Store.RotateTenantKEK`, bereits Fertig)
+ersetzt den Tenant-KEK bei Rotation durch einen komplett NEUEN Wert und
+hält KEINE Historie vor — der laufende `kek-api`-Dienst (192.168.1.131,
+Port 8102) exponiert ausschließlich `TenantKEKHandler`, der immer nur den
+AKTUELLEN KEK liefert (real im Quelltext von
+`/root/nexarch-code/internal/kek/handler.go` und `cmd/kek-api/main.go`
+auf 131 verifiziert). Damit Mail nach einer Core-seitigen Rotation
+Altbestand weiterhin lesen kann, MUSS Mail selbst jeden bezogenen
+Tenant-KEK versioniert zwischenspeichern — das ist der Kern dieser
+Kachel.
+
+## Umsetzung
+
+- `mail/internal/crypto/kekversions.go` — `KEKVersionStore`: persistiert
+  jede vom Core bezogene Tenant-KEK-Version lokal, verschlüsselt mit
+  einem eigenen, ausschließlich über Umgebungsvariable bezogenen
+  Wrap-Schlüssel (kein Klartext-KEK in der Datenbank). `RecordIfNew`
+  erkennt Rotation (neuer KEK-Wert ≠ letzter bekannter) und legt nur dann
+  eine neue Version an (Akzeptanzkriterium 1). `Revoke` sperrt gezielt
+  eine einzelne Version (Pflichtprüfung 2).
+- `mail/internal/crypto/service.go` — `Service.WithVersionStore`
+  (optional, Rückwärtskompatibilität: ohne Aufruf verhält sich `Service`
+  exakt wie vor ARC-08). `Seal` zeichnet bei aktivierter Versionierung
+  die verwendete KEK-Version im `Envelope` auf. Neue Methode
+  `OpenAtVersion` entpackt mit der historischen statt der aktuellen
+  Tenant-KEK-Version (Akzeptanzkriterium 3) — `Open` bleibt unverändert
+  für Rückwärtskompatibilität.
+- `mail/internal/encstorage/encstorage.go` — neuer Sidecar
+  `<key>.dek.version` (gleiches Muster wie der bestehende `.dek`-Sidecar
+  aus ARC-02) speichert die KEK-Version je Objekt. `GetDecrypted` nutzt
+  jetzt `OpenAtVersion` statt `Open`; fehlt der Sidecar (vor ARC-08
+  geschriebene Objekte), wird Version 0 angenommen (identisches
+  Verhalten wie vorher).
+- Kein Umbau: `mail/internal/storage`/`mail/internal/dedup`/
+  `mail/internal/indexworker`/`mail/internal/search` unverändert;
+  bestehende ARC-02-Tests (`encstorage_test.go`) unverändert lauffähig
+  ohne Codeänderung an ihnen.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Test: Rotation des Hauptschlüssels lässt Altbestand weiterhin lesbar | **bestanden** – `TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation`: Objekt vor Rotation versiegelt (Version 1), Tenant-Hauptschlüssel real rotiert (Provider liefert ab dann einen anderen Wert, exakt wie `RotateTenantKEK` es bei Core bewirkt), neues Objekt nach Rotation versiegelt (Version 2), Altbestand über `OpenAtVersion` real weiterhin korrekt entschlüsselt — zusätzlich real bestätigt, dass der naive `Open()` mit dem neuen aktuellen KEK für das alte Objekt fehlschlägt (beweist, dass `OpenAtVersion` tatsächlich etwas leistet) |
+| 2 | Test: kompromittierter alter Schlüssel kann gezielt gesperrt werden | **bestanden** – `TestRotation_CompromisedOldKeyCanBeRevoked`: Version gesperrt, `OpenAtVersion` liefert danach real `ErrKEKVersionRevoked`; `TestKEKVersionStore_RevokeBlocksOnlyThatVersion` bestätigt zusätzlich, dass eine ANDERE Version davon unberührt bleibt |
+| 3 | Dokumentierter Rotationsvorgang wurde einmal vollständig durchgespielt | **bestanden** – siehe Abschnitt "Rotationsvorgang" unten, real durchlaufen als `TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation` |
+
+### Rotationsvorgang (Pflichtprüfung 3, vollständig durchgespielt)
+
+1. Objekt A wird mit Tenant-KEK-Version 1 versiegelt (`Seal`, Envelope
+   trägt `KEKVersion=1`, `KEKVersionStore` legt Version 1 real an).
+2. Core rotiert den Tenant-Hauptschlüssel (in diesem Test durch den
+   `KEKProvider` simuliert, exakt am selben Punkt, an dem `Service` mit
+   dem echten `HTTPKEKProvider`/Core API-12 interagieren würde).
+3. Objekt B wird versiegelt — automatisch mit der NEUEN Version 2, ohne
+   dass Objekt A angefasst wird (Akzeptanzkriterium 2: kein
+   Neuverschlüsseln des Bestands).
+4. Objekt A wird über `OpenAtVersion(..., kekVersion=1, ...)` gelesen —
+   real erfolgreich, Klartext identisch zum Original.
+5. Ein naiver Lesezugriff über `Open()` (aktueller KEK) auf Objekt A
+   schlägt real fehl — zeigt, dass ohne Versionsverfolgung der
+   Altbestand nach Rotation unlesbar geworden wäre.
+
+## Build/Test-Ergebnis (192.168.1.131)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
+TEST_MANTICORE_URL=http://127.0.0.1:9308 \
+  go test ./... -v -p 1  -> alle Pakete bestanden, inkl. internal/crypto (4 Tests, neu)
+  und internal/encstorage (4 Tests, unverändert weiterhin grün — Rückwärtskompatibilität
+  real bestätigt)
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
+real erfüllt. Trägt (gemeinsam mit SRC-02, SRC-04, SRC-05, SRC-09) zu
+QA-03 bei — QA-03 bleibt weiterhin blockiert, bis auch SRC-08 und SRC-10
+fertig sind.

mail/docs/SRC-08-PRUEFPROTOKOLL.md

@@ -0,0 +1,59 @@
+# SRC-08 – Prüfprotokoll: Gespeicherte Suchanfragen
+
+Voraussetzung SRC-03 (Fertig).
+
+## Umsetzung
+
+- `mail/internal/savedsearch/store.go` — `Store` (Postgres,
+  `mail_saved_searches`): `Save` (Upsert über `UNIQUE(tenant_slug,
+  user_id, name)`, Akzeptanzkriterium 1), `List`/`Get` streng auf
+  Mandant UND Benutzer beschränkt (Akzeptanzkriterium 3), `Delete`
+  löscht genau eine Zeile über `tenant_slug + user_id + id`.
+  „Benutzer" ist bis zu einer zentralen Session-/IAM-Anbindung
+  (Core-Board-Scope) ein vom Aufrufer mitgegebener opaker
+  `userID`-String — dieselbe Konvention wie der Tenant-Kontext in
+  `web/mail-search` (SRC-04).
+- `Execute(ctx, client, saved)` führt die gespeicherte Suche LIVE gegen
+  `search.Client` aus — speichert selbst keine Treffer, jeder Aufruf
+  fragt Manticore neu ab (Akzeptanzkriterium 2).
+- `mail/internal/search/facets.go` — kleinste nötige Erweiterung: neue
+  Methode `Client.SearchWithFilters` (gemeinsame `buildFilteredMust`-
+  Hilfsfunktion mit `Facets` extrahiert) liefert TATSÄCHLICH gefilterte
+  Treffer statt nur Facettenzählungen — ohne dies gäbe es keinen echten
+  Weg, gespeicherte Filter beim Wiederausführen anzuwenden.
+- Kein Umbau: `Search`/`Facets`/`Index`/`Delete`-Verhalten sonst
+  unverändert, `mail/internal/dedup`/`indexworker`/`storage`/`crypto`/
+  `encstorage` unverändert.
+
+## Prüfungen
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Test: gespeicherte Suche mit mehreren Filtern wird korrekt reproduziert | **bestanden** – `TestExecute_SavedSearchWithMultipleFiltersReproducesCorrectly`: 3 Dokumente, 2 Filter (Sender+Postfach) gespeichert, `Execute` liefert real genau das eine Dokument, das beide Filter erfüllt |
+| 2 | Test: Benutzer sieht keine gespeicherten Suchen anderer Mandanten | **bestanden** – `TestList_UserSeesNoOtherTenantsSavedSearches`: zwei Mandanten mit je einer gespeicherten Suche, `List` bei Mandant B liefert real nur die eigene, nicht die von Mandant A |
+| 3 | Test: Löschen einer gespeicherten Suche entfernt nur diese | **bestanden** – `TestDelete_RemovesOnlyThatSavedSearch`: zwei gespeicherte Suchen, eine gelöscht, `Get` liefert für die gelöschte real `ErrNotFound`, die andere bleibt real unverändert abrufbar |
+
+Zusätzlich (Akzeptanzkriterium 2, kein eingefrorener Snapshot):
+`TestExecute_ReturnsCurrentResultsNotFrozenSnapshot` — Ausführung vor
+einer neuen Indexierung liefert real 0 Treffer, danach real 1 Treffer,
+ohne dass die gespeicherte Suche selbst verändert wurde.
+
+## Build/Test-Ergebnis (192.168.1.131)
+
+```
+go build ./...  -> clean
+go vet ./...    -> clean
+golangci-lint run ./...  -> 0 issues
+TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
+TEST_MANTICORE_URL=http://127.0.0.1:9308 \
+  go test ./... -p 1  -> alle Pakete bestanden, inkl. internal/savedsearch (4 Tests, neu),
+  keine Regression in dedup/indexworker/storage/encstorage/example/mimeparse/pflichttestgate/
+  crypto/search
+```
+
+## Gesamtergebnis
+
+**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
+real erfüllt. Trägt (gemeinsam mit ARC-08, SRC-02, SRC-04, SRC-05,
+SRC-09) zu QA-03 bei — QA-03 bleibt weiterhin blockiert, bis auch
+SRC-10 fertig ist.

mail/internal/crypto/kekversions.go

@@ -0,0 +1,144 @@
+// ARC-08: Tenant-KEK-Rotation. Core (API-10, `internal/kek.Store.
+// RotateTenantKEK`) ersetzt den Tenant-KEK durch einen komplett neuen
+// Wert — Core selbst hält KEINE Historie vor, `TenantKEKHandler` liefert
+// immer nur den AKTUELLEN Schlüssel (siehe kekprovider.go). Damit ARC-08s
+// Akzeptanzkriterium 3 ("alte Schlüsselversionen bleiben für
+// Lesezugriff kontrolliert verfügbar") erfüllbar ist, muss Mail selbst
+// jeden von Core bezogenen Tenant-KEK versioniert zwischenspeichern —
+// KEKVersionStore übernimmt genau das, lokal mit einem eigenen,
+// ausschließlich über Umgebungsvariable bezogenen Wrap-Schlüssel
+// verschlüsselt (kein Klartext-KEK in der Datenbank).
+package crypto
+
+import (
+	"bytes"
+	"context"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// ErrKEKVersionNotFound wird geliefert, wenn die angefragte Version für
+// den Mandanten nicht existiert.
+var ErrKEKVersionNotFound = errors.New("crypto: kek-version nicht gefunden")
+
+// ErrKEKVersionRevoked wird geliefert, wenn die angefragte Version gezielt
+// gesperrt wurde (Pflichtprüfung 2: kompromittierter alter Schlüssel kann
+// gezielt gesperrt werden) — der Lesezugriff auf mit dieser Version
+// verschlüsselte Altobjekte ist dann bewusst blockiert.
+var ErrKEKVersionRevoked = errors.New("crypto: kek-version wurde gesperrt")
+
+// KEKVersionStore verwaltet die Versionshistorie der Tenant-KEKs, die
+// dieses Mail-Modul im Lauf der Zeit von Core bezogen hat.
+type KEKVersionStore struct {
+	pool         *pgxpool.Pool
+	localWrapKey []byte
+}
+
+// NewKEKVersionStore erzeugt einen Store. localWrapKey verschlüsselt die
+// zwischengespeicherten Tenant-KEKs lokal at rest (KEKSize Bytes,
+// ausschließlich über Umgebungsvariable bezogen — nie im Code).
+func NewKEKVersionStore(pool *pgxpool.Pool, localWrapKey []byte) *KEKVersionStore {
+	return &KEKVersionStore{pool: pool, localWrapKey: localWrapKey}
+}
+
+// EnsureSchema legt die Tabelle an, falls sie noch nicht existiert —
+// gleiches Muster wie mail/internal/dedup/indexworker (kein zentraler
+// Migrationsläufer für Mandanten-Datenbanken im Mail-Modul vorhanden).
+func (s *KEKVersionStore) EnsureSchema(ctx context.Context) error {
+	if _, err := s.pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS mail_kek_versions (
+			tenant_slug  TEXT NOT NULL,
+			version      INT NOT NULL,
+			wrapped_kek  BYTEA NOT NULL,
+			revoked      BOOLEAN NOT NULL DEFAULT false,
+			created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
+			PRIMARY KEY (tenant_slug, version)
+		)
+	`); err != nil {
+		return fmt.Errorf("crypto: kek-versionsschema anlegen: %w", err)
+	}
+	return nil
+}
+
+// RecordIfNew merkt sich plainKEK als neue Version für tenantSlug, FALLS
+// er sich vom zuletzt gespeicherten Wert unterscheidet (Rotation
+// erkannt) — bei unverändertem KEK wird keine neue Version angelegt,
+// sondern die bestehende Versionsnummer zurückgegeben (Akzeptanzkriterium
+// 1: rotierbar verwaltet, nicht bei jedem Aufruf eine neue Version).
+func (s *KEKVersionStore) RecordIfNew(ctx context.Context, tenantSlug string, plainKEK []byte) (version int, err error) {
+	var latestVersion int
+	var latestWrapped []byte
+	err = s.pool.QueryRow(ctx, `
+		SELECT version, wrapped_kek FROM mail_kek_versions
+		WHERE tenant_slug = $1 ORDER BY version DESC LIMIT 1
+	`, tenantSlug).Scan(&latestVersion, &latestWrapped)
+	switch {
+	case errors.Is(err, pgx.ErrNoRows):
+		return s.insertVersion(ctx, tenantSlug, 1, plainKEK)
+	case err != nil:
+		return 0, fmt.Errorf("crypto: letzte kek-version lesen: %w", err)
+	}
+
+	latestPlain, err := open(s.localWrapKey, latestWrapped)
+	if err != nil {
+		return 0, fmt.Errorf("crypto: zwischengespeicherten kek entpacken: %w", err)
+	}
+	if bytes.Equal(latestPlain, plainKEK) {
+		return latestVersion, nil
+	}
+	return s.insertVersion(ctx, tenantSlug, latestVersion+1, plainKEK)
+}
+
+func (s *KEKVersionStore) insertVersion(ctx context.Context, tenantSlug string, version int, plainKEK []byte) (int, error) {
+	wrapped, err := seal(s.localWrapKey, plainKEK)
+	if err != nil {
+		return 0, fmt.Errorf("crypto: kek für zwischenspeicherung verpacken: %w", err)
+	}
+	if _, err := s.pool.Exec(ctx, `
+		INSERT INTO mail_kek_versions (tenant_slug, version, wrapped_kek) VALUES ($1, $2, $3)
+	`, tenantSlug, version, wrapped); err != nil {
+		return 0, fmt.Errorf("crypto: kek-version speichern: %w", err)
+	}
+	return version, nil
+}
+
+// Get liefert den entschlüsselten historischen Tenant-KEK einer
+// bestimmten Version. Liefert ErrKEKVersionRevoked, wenn die Version
+// gezielt gesperrt wurde (Pflichtprüfung 2).
+func (s *KEKVersionStore) Get(ctx context.Context, tenantSlug string, version int) ([]byte, error) {
+	var wrapped []byte
+	var revoked bool
+	err := s.pool.QueryRow(ctx, `
+		SELECT wrapped_kek, revoked FROM mail_kek_versions
+		WHERE tenant_slug = $1 AND version = $2
+	`, tenantSlug, version).Scan(&wrapped, &revoked)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return nil, ErrKEKVersionNotFound
+		}
+		return nil, fmt.Errorf("crypto: kek-version lesen: %w", err)
+	}
+	if revoked {
+		return nil, ErrKEKVersionRevoked
+	}
+	return open(s.localWrapKey, wrapped)
+}
+
+// Revoke sperrt eine Tenant-KEK-Version gezielt (Pflichtprüfung 2):
+// nachfolgende Get-Aufrufe für genau diese Version schlagen mit
+// ErrKEKVersionRevoked fehl, andere Versionen bleiben unberührt.
+func (s *KEKVersionStore) Revoke(ctx context.Context, tenantSlug string, version int) error {
+	tag, err := s.pool.Exec(ctx, `
+		UPDATE mail_kek_versions SET revoked = true WHERE tenant_slug = $1 AND version = $2
+	`, tenantSlug, version)
+	if err != nil {
+		return fmt.Errorf("crypto: kek-version sperren: %w", err)
+	}
+	if tag.RowsAffected() == 0 {
+		return ErrKEKVersionNotFound
+	}
+	return nil
+}

mail/internal/crypto/kekversions_test.go

@@ -0,0 +1,111 @@
+// Integrationstest (ARC-08): echte Postgres-Instanz, folgt derselben
+// Testhost-Konvention wie mail/internal/dedup/indexworker — TEST_TENANT_DSN.
+package crypto
+
+import (
+	"bytes"
+	"context"
+	"os"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+var testLocalWrapKey = bytes.Repeat([]byte{0x7a}, KEKSize)
+
+func setupKEKVersionStore(t *testing.T, tenantSlug string) *KEKVersionStore {
+	t.Helper()
+	dsn := os.Getenv("TEST_TENANT_DSN")
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	t.Cleanup(func() { pool.Close() })
+
+	store := NewKEKVersionStore(pool, testLocalWrapKey)
+	if err := store.EnsureSchema(ctx); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `DELETE FROM mail_kek_versions WHERE tenant_slug = $1`, tenantSlug)
+	})
+	return store
+}
+
+func TestKEKVersionStore_RecordIfNewDetectsRotationOnly(t *testing.T) {
+	tenant := "mandant-arc08-recordifnew"
+	store := setupKEKVersionStore(t, tenant)
+	ctx := context.Background()
+
+	kekV1 := bytes.Repeat([]byte{0x01}, KEKSize)
+	v1, err := store.RecordIfNew(ctx, tenant, kekV1)
+	if err != nil {
+		t.Fatalf("erste erfassung: %v", err)
+	}
+	if v1 != 1 {
+		t.Fatalf("erwartete version 1, habe %d", v1)
+	}
+
+	// Erneuter Aufruf mit UNVERÄNDERTEM KEK darf keine neue Version anlegen.
+	vAgain, err := store.RecordIfNew(ctx, tenant, kekV1)
+	if err != nil {
+		t.Fatalf("zweite erfassung (unverändert): %v", err)
+	}
+	if vAgain != 1 {
+		t.Fatalf("erwartete weiterhin version 1 bei unverändertem kek, habe %d", vAgain)
+	}
+
+	kekV2 := bytes.Repeat([]byte{0x02}, KEKSize)
+	v2, err := store.RecordIfNew(ctx, tenant, kekV2)
+	if err != nil {
+		t.Fatalf("dritte erfassung (rotiert): %v", err)
+	}
+	if v2 != 2 {
+		t.Fatalf("erwartete version 2 nach rotation, habe %d", v2)
+	}
+
+	gotV1, err := store.Get(ctx, tenant, 1)
+	if err != nil {
+		t.Fatalf("get v1: %v", err)
+	}
+	if !bytes.Equal(gotV1, kekV1) {
+		t.Fatal("v1 liefert nicht den ursprünglichen kek zurück")
+	}
+	gotV2, err := store.Get(ctx, tenant, 2)
+	if err != nil {
+		t.Fatalf("get v2: %v", err)
+	}
+	if !bytes.Equal(gotV2, kekV2) {
+		t.Fatal("v2 liefert nicht den rotierten kek zurück")
+	}
+}
+
+func TestKEKVersionStore_RevokeBlocksOnlyThatVersion(t *testing.T) {
+	tenant := "mandant-arc08-revoke"
+	store := setupKEKVersionStore(t, tenant)
+	ctx := context.Background()
+
+	kekV1 := bytes.Repeat([]byte{0x11}, KEKSize)
+	kekV2 := bytes.Repeat([]byte{0x22}, KEKSize)
+	if _, err := store.RecordIfNew(ctx, tenant, kekV1); err != nil {
+		t.Fatalf("v1 erfassen: %v", err)
+	}
+	if _, err := store.RecordIfNew(ctx, tenant, kekV2); err != nil {
+		t.Fatalf("v2 erfassen: %v", err)
+	}
+
+	if err := store.Revoke(ctx, tenant, 1); err != nil {
+		t.Fatalf("v1 sperren: %v", err)
+	}
+
+	if _, err := store.Get(ctx, tenant, 1); err != ErrKEKVersionRevoked {
+		t.Fatalf("erwartete ErrKEKVersionRevoked für gesperrte version 1, habe: %v", err)
+	}
+	if _, err := store.Get(ctx, tenant, 2); err != nil {
+		t.Fatalf("version 2 sollte unberührt bleiben: %v", err)
+	}
+}

mail/internal/crypto/rotation_test.go

@@ -0,0 +1,131 @@
+// ARC-08: End-zu-Ende-Rotationstest. Nutzt einen fake KEKProvider (echter
+// Testkonvention aus ARC-02, siehe encstorage_test.go) statt eines echten
+// HTTP-Aufrufs an Core API-12 — Core selbst hat keine rotierbare
+// Testschnittstelle über HTTP exponiert (nur der aktuelle KEK ist
+// abrufbar), die Rotation wird hier auf Höhe der KEKProvider-Schnittstelle
+// simuliert, exakt wie ARC-02 es für Fehlerfälle bereits tut.
+package crypto
+
+import (
+	"bytes"
+	"context"
+	"io"
+	"strings"
+	"sync"
+	"testing"
+)
+
+// rotatableKEKProvider liefert für einen Mandanten einen aktuell
+// gesetzten KEK, der zur Laufzeit "rotiert" werden kann (simuliert Core
+// API-10s RotateTenantKEK, dessen Effekt auf API-12 exakt darin besteht,
+// dass TenantKEK ab dann einen anderen Wert liefert).
+type rotatableKEKProvider struct {
+	mu      sync.Mutex
+	current []byte
+}
+
+func (p *rotatableKEKProvider) TenantKEK(_ context.Context, _ string) ([]byte, error) {
+	p.mu.Lock()
+	defer p.mu.Unlock()
+	return p.current, nil
+}
+
+func (p *rotatableKEKProvider) rotate(newKEK []byte) {
+	p.mu.Lock()
+	defer p.mu.Unlock()
+	p.current = newKEK
+}
+
+// TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation ist die
+// geforderte Pflichtprüfung 1: Rotation des Hauptschlüssels lässt
+// Altbestand weiterhin lesbar.
+func TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation(t *testing.T) {
+	tenant := "mandant-arc08-rotation-lesbar"
+	store := setupKEKVersionStore(t, tenant)
+	ctx := context.Background()
+
+	provider := &rotatableKEKProvider{current: bytes.Repeat([]byte{0x51}, KEKSize)}
+	svc := NewService(provider).WithVersionStore(store)
+
+	// Objekt VOR der Rotation versiegeln.
+	oldEnvelope, err := svc.Seal(ctx, tenant, strings.NewReader("altbestand vor rotation"))
+	if err != nil {
+		t.Fatalf("seal (alt): %v", err)
+	}
+	if oldEnvelope.KEKVersion != 1 {
+		t.Fatalf("erwartete kek-version 1 vor rotation, habe %d", oldEnvelope.KEKVersion)
+	}
+	oldCiphertext, err := io.ReadAll(oldEnvelope.Ciphertext)
+	if err != nil {
+		t.Fatalf("chiffretext (alt) lesen: %v", err)
+	}
+
+	// Core rotiert den Tenant-Hauptschlüssel — TenantKEK liefert ab jetzt
+	// einen komplett anderen Wert, exakt wie internal/kek.Store.
+	// RotateTenantKEK es real bei Core bewirkt.
+	provider.rotate(bytes.Repeat([]byte{0x52}, KEKSize))
+
+	// Objekt NACH der Rotation versiegeln (Akzeptanzkriterium 2: kein
+	// Neuverschlüsseln des Altbestands nötig, nur neue Objekte nutzen den
+	// neuen Schlüssel).
+	newEnvelope, err := svc.Seal(ctx, tenant, strings.NewReader("neuer inhalt nach rotation"))
+	if err != nil {
+		t.Fatalf("seal (neu): %v", err)
+	}
+	if newEnvelope.KEKVersion != 2 {
+		t.Fatalf("erwartete kek-version 2 nach rotation, habe %d", newEnvelope.KEKVersion)
+	}
+
+	// Altbestand bleibt über die aufgezeichnete Version lesbar
+	// (Akzeptanzkriterium 3).
+	openedOld, err := svc.OpenAtVersion(ctx, tenant, oldEnvelope.KEKVersion, oldEnvelope.WrappedDEK, bytes.NewReader(oldCiphertext))
+	if err != nil {
+		t.Fatalf("openatversion (alt, nach rotation): %v", err)
+	}
+	plainOld, err := io.ReadAll(openedOld)
+	if err != nil {
+		t.Fatalf("altbestand lesen: %v", err)
+	}
+	if string(plainOld) != "altbestand vor rotation" {
+		t.Fatalf("altbestand-inhalt stimmt nicht, habe %q", string(plainOld))
+	}
+
+	// Der naive Open() (aktueller KEK) darf für das ALTE Objekt inzwischen
+	// NICHT mehr funktionieren — das beweist, dass OpenAtVersion die
+	// Rotation tatsächlich überbrückt, statt zufällig auch so zu klappen.
+	if _, err := svc.Open(ctx, tenant, oldEnvelope.WrappedDEK, bytes.NewReader(oldCiphertext)); err == nil {
+		t.Fatal("erwartete fehler bei Open() des altbestands mit dem NEUEN aktuellen kek, habe nil")
+	}
+}
+
+// TestRotation_CompromisedOldKeyCanBeRevoked ist die geforderte
+// Pflichtprüfung 2: kompromittierter alter Schlüssel kann gezielt
+// gesperrt werden.
+func TestRotation_CompromisedOldKeyCanBeRevoked(t *testing.T) {
+	tenant := "mandant-arc08-revoke-e2e"
+	store := setupKEKVersionStore(t, tenant)
+	ctx := context.Background()
+
+	provider := &rotatableKEKProvider{current: bytes.Repeat([]byte{0x61}, KEKSize)}
+	svc := NewService(provider).WithVersionStore(store)
+
+	compromisedEnvelope, err := svc.Seal(ctx, tenant, strings.NewReader("mit kompromittiertem schlüssel versiegelt"))
+	if err != nil {
+		t.Fatalf("seal: %v", err)
+	}
+	compromisedCiphertext, err := io.ReadAll(compromisedEnvelope.Ciphertext)
+	if err != nil {
+		t.Fatalf("chiffretext lesen: %v", err)
+	}
+
+	provider.rotate(bytes.Repeat([]byte{0x62}, KEKSize))
+
+	if err := store.Revoke(ctx, tenant, compromisedEnvelope.KEKVersion); err != nil {
+		t.Fatalf("kompromittierte version sperren: %v", err)
+	}
+
+	_, err = svc.OpenAtVersion(ctx, tenant, compromisedEnvelope.KEKVersion, compromisedEnvelope.WrappedDEK, bytes.NewReader(compromisedCiphertext))
+	if err == nil {
+		t.Fatal("erwartete fehler beim lesen mit gesperrter kek-version, habe nil")
+	}
+}

mail/internal/crypto/service.go

@@ -9,9 +9,13 @@ import (
 // Envelope ist das Ergebnis einer Seal-Operation: der Chiffretext-
 // Stream plus der mit dem Tenant-KEK verpackte DEK, der zusammen mit
 // dem Objekt persistiert werden muss (siehe mail/internal/encstorage).
+// KEKVersion identifiziert (ARC-08), MIT welcher Tenant-KEK-Version der
+// DEK verpackt wurde — 0, solange kein KEKVersionStore konfiguriert ist
+// (Rückwärtskompatibilität, siehe WithVersionStore).
 type Envelope struct {
 	Ciphertext io.Reader
 	WrappedDEK []byte
+	KEKVersion int
 }
 
 // Service verbindet KEKProvider mit den Envelope-Operationen — Aufrufer
@@ -19,16 +23,27 @@ type Envelope struct {
 // Einzelfunktionen aus envelope.go direkt.
 type Service struct {
 	kek      KEKProvider
+	versions *KEKVersionStore
 }
 
 func NewService(kek KEKProvider) *Service {
 	return &Service{kek: kek}
 }
 
+// WithVersionStore aktiviert die Tenant-KEK-Versionsverfolgung (ARC-08).
+// Ohne aufgerufenes WithVersionStore verhält sich Service exakt wie vor
+// ARC-08 (KEKVersion bleibt 0, OpenAtVersion fällt auf Open zurück) —
+// bestehende Aufrufer (z. B. encstorage) sind unverändert lauffähig.
+func (s *Service) WithVersionStore(store *KEKVersionStore) *Service {
+	s.versions = store
+	return s
+}
+
 // Seal erzeugt einen neuen DEK (Akzeptanzkriterium 1), verschlüsselt
 // plaintext damit und verpackt den DEK mit dem aktuellen Tenant-KEK
 // (Akzeptanzkriterium 2 — der KEK wird bei JEDEM Aufruf frisch von Core
-// bezogen, nie zwischengespeichert).
+// bezogen, nie zwischengespeichert außer in der optionalen
+// KEK-Versionshistorie für spätere Altbestands-Lesezugriffe).
 func (s *Service) Seal(ctx context.Context, tenantSlug string, plaintext io.Reader) (*Envelope, error) {
 	dek, err := GenerateDEK()
 	if err != nil {
@@ -46,14 +61,25 @@ func (s *Service) Seal(ctx context.Context, tenantSlug string, plaintext io.Read
 	if err != nil {
 		return nil, err
 	}
-	return &Envelope{Ciphertext: ciphertext, WrappedDEK: wrappedDEK}, nil
+
+	var kekVersion int
+	if s.versions != nil {
+		kekVersion, err = s.versions.RecordIfNew(ctx, tenantSlug, kek)
+		if err != nil {
+			return nil, fmt.Errorf("crypto: kek-version erfassen: %w", err)
+		}
+	}
+
+	return &Envelope{Ciphertext: ciphertext, WrappedDEK: wrappedDEK, KEKVersion: kekVersion}, nil
 }
 
-// Open entpackt den DEK mit dem aktuellen Tenant-KEK (Akzeptanzkriterium
+// Open entpackt den DEK mit dem AKTUELLEN Tenant-KEK (Akzeptanzkriterium
 // 3: nur mit gültigem, mandantenbezogenem Schlüssel möglich — ein
 // falscher Tenant-Slug liefert entweder einen falschen KEK von Core
 // [dann schlägt UnwrapDEK fehl] oder Core verweigert den Zugriff direkt)
-// und entschlüsselt ciphertext damit.
+// und entschlüsselt ciphertext damit. Nach einer Tenant-KEK-Rotation bei
+// Core funktioniert Open nur noch für Objekte, die mit dem NEUEN KEK
+// versiegelt wurden — für Altbestand siehe OpenAtVersion.
 func (s *Service) Open(ctx context.Context, tenantSlug string, wrappedDEK []byte, ciphertext io.Reader) (io.Reader, error) {
 	kek, err := s.kek.TenantKEK(ctx, tenantSlug)
 	if err != nil {
@@ -65,3 +91,24 @@ func (s *Service) Open(ctx context.Context, tenantSlug string, wrappedDEK []byte
 	}
 	return DecryptStream(dek, ciphertext)
 }
+
+// OpenAtVersion entpackt den DEK mit der beim Seal aufgezeichneten
+// historischen Tenant-KEK-Version statt mit dem aktuellen Core-KEK
+// (ARC-08 Akzeptanzkriterium 3: Altbestand bleibt nach einer
+// Hauptschlüssel-Rotation lesbar). Ist kekVersion 0 oder kein
+// KEKVersionStore konfiguriert, verhält es sich wie Open (Rückwärts-
+// kompatibilität für vor ARC-08 versiegelte Objekte).
+func (s *Service) OpenAtVersion(ctx context.Context, tenantSlug string, kekVersion int, wrappedDEK []byte, ciphertext io.Reader) (io.Reader, error) {
+	if kekVersion == 0 || s.versions == nil {
+		return s.Open(ctx, tenantSlug, wrappedDEK, ciphertext)
+	}
+	kek, err := s.versions.Get(ctx, tenantSlug, kekVersion)
+	if err != nil {
+		return nil, fmt.Errorf("crypto: historischen tenant-kek beziehen: %w", err)
+	}
+	dek, err := UnwrapDEK(kek, wrappedDEK)
+	if err != nil {
+		return nil, err
+	}
+	return DecryptStream(dek, ciphertext)
+}

mail/internal/encstorage/encstorage.go

@@ -16,8 +16,10 @@ package encstorage
 import (
 	"bytes"
 	"context"
+	"errors"
 	"fmt"
 	"io"
+	"strconv"
 
 	"gitea.perlbach24.de/scripte/nexarch/mail/internal/crypto"
 	"gitea.perlbach24.de/scripte/nexarch/mail/internal/storage"
@@ -30,6 +32,14 @@ func wrappedDEKKey(key string) string {
 	return key + ".dek"
 }
 
+// kekVersionKey ist der Sidecar-Objektschlüssel für die Tenant-KEK-
+// Version, mit der der DEK verpackt wurde (ARC-08 Akzeptanzkriterium 3).
+// Fehlt dieser Sidecar (vor ARC-08 geschriebene Objekte), wird Version 0
+// angenommen — GetDecrypted verhält sich dann wie vor ARC-08.
+func kekVersionKey(key string) string {
+	return key + ".dek.version"
+}
+
 // Service verbindet Storage (ARC-01) und Crypto (ARC-02): der Rest von
 // Mail ruft AUSSCHLIESSLICH diesen Service auf, nie storage.Service
 // direkt mit Klartext — das verhindert einen Schreibpfad, der die
@@ -62,6 +72,12 @@ func (s *Service) Put(ctx context.Context, tenantSlug, key string, plaintext io.
 	if _, err := s.storage.Put(ctx, wrappedDEKKey(key), bytes.NewReader(env.WrappedDEK), int64(len(env.WrappedDEK)), "application/octet-stream"); err != nil {
 		return fmt.Errorf("encstorage: verpackten dek speichern: %w", err)
 	}
+	if env.KEKVersion != 0 {
+		versionBytes := []byte(strconv.Itoa(env.KEKVersion))
+		if _, err := s.storage.Put(ctx, kekVersionKey(key), bytes.NewReader(versionBytes), int64(len(versionBytes)), "text/plain"); err != nil {
+			return fmt.Errorf("encstorage: kek-version speichern: %w", err)
+		}
+	}
 	return nil
 }
 
@@ -85,9 +101,38 @@ func (s *Service) GetDecrypted(ctx context.Context, tenantSlug, key string) ([]b
 		return nil, fmt.Errorf("encstorage: verpackten dek lesen: %w", err)
 	}
 
-	plaintextReader, err := s.crypto.Open(ctx, tenantSlug, wrappedDEK, bytes.NewReader(ciphertext))
+	kekVersion, err := s.readKEKVersion(ctx, key)
+	if err != nil {
+		return nil, err
+	}
+
+	plaintextReader, err := s.crypto.OpenAtVersion(ctx, tenantSlug, kekVersion, wrappedDEK, bytes.NewReader(ciphertext))
 	if err != nil {
 		return nil, err
 	}
 	return io.ReadAll(plaintextReader)
 }
+
+// readKEKVersion liest den Versions-Sidecar (ARC-08). Fehlt er (vor
+// ARC-08 geschriebene Objekte, oder ein Seal ohne konfigurierten
+// KEKVersionStore), gilt Version 0 — crypto.Service.OpenAtVersion fällt
+// dafür auf das unveränderte Open-Verhalten zurück.
+func (s *Service) readKEKVersion(ctx context.Context, key string) (int, error) {
+	reader, err := s.storage.Get(ctx, kekVersionKey(key))
+	if err != nil {
+		if errors.Is(err, storage.ErrNotFound) {
+			return 0, nil
+		}
+		return 0, fmt.Errorf("encstorage: kek-version lesen: %w", err)
+	}
+	defer func() { _ = reader.Close() }()
+	raw, err := io.ReadAll(reader)
+	if err != nil {
+		return 0, fmt.Errorf("encstorage: kek-version lesen: %w", err)
+	}
+	version, err := strconv.Atoi(string(raw))
+	if err != nil {
+		return 0, fmt.Errorf("encstorage: kek-version parsen: %w", err)
+	}
+	return version, nil
+}

mail/internal/savedsearch/migrations/0001_mail_saved_searches.sql

@@ -0,0 +1,11 @@
+CREATE TABLE IF NOT EXISTS mail_saved_searches (
+    id           BIGSERIAL PRIMARY KEY,
+    tenant_slug  TEXT NOT NULL,
+    user_id      TEXT NOT NULL,
+    name         TEXT NOT NULL,
+    query_text   TEXT NOT NULL DEFAULT '',
+    filters      JSONB NOT NULL DEFAULT '[]'::jsonb,
+    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
+    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
+    UNIQUE (tenant_slug, user_id, name)
+)

mail/internal/savedsearch/store.go

@@ -0,0 +1,174 @@
+// Package savedsearch implementiert SRC-08: benannte, wiederausführbare
+// Suchanfragen inklusive aktiver Filter. Speichert ausschließlich die
+// SUCHKRITERIEN (Suchtext + Filter), niemals Trefferlisten — Execute ruft
+// bei jeder Ausführung real gegen mail/internal/search (SRC-01/SRC-03/
+// SRC-05) auf, damit stets aktuelle Treffer geliefert werden, kein
+// eingefrorener Snapshot (Akzeptanzkriterium 2). Kombiniert bewusst zwei
+// bereits fertige, unveränderte Pakete (Postgres-Speicherung hier,
+// Ausführung über search.Client) statt eines davon zu erweitern.
+//
+// "Benutzer" ist bis zu einer zentralen Session-/IAM-Anbindung (Core-
+// Board-Scope, nicht Bestandteil dieser Kachel) ein vom Aufrufer
+// mitgegebener opaker userID-String — dieselbe Konvention wie der
+// Tenant-Kontext in web/mail-search (SRC-04).
+package savedsearch
+
+import (
+	"context"
+	_ "embed"
+	"encoding/json"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/mail/internal/search"
+)
+
+//go:embed migrations/0001_mail_saved_searches.sql
+var schemaMigration string
+
+// ErrNotFound wird geliefert, wenn keine gespeicherte Suche mit den
+// angegebenen Bezugsdaten existiert.
+var ErrNotFound = errors.New("savedsearch: gespeicherte suche nicht gefunden")
+
+// SavedSearch ist eine benannte, wiederausführbare Suchanfrage.
+type SavedSearch struct {
+	ID         int64
+	TenantSlug string
+	UserID     string
+	Name       string
+	QueryText  string
+	Filters    []search.FacetFilter
+}
+
+// Store persistiert gespeicherte Suchen in Postgres.
+type Store struct {
+	pool *pgxpool.Pool
+}
+
+func NewStore(pool *pgxpool.Pool) *Store {
+	return &Store{pool: pool}
+}
+
+// EnsureSchema legt die Tabelle an, falls sie noch nicht existiert —
+// gleiches Muster wie mail/internal/dedup/indexworker (kein zentraler
+// Migrationsläufer für Mandanten-Datenbanken im Mail-Modul vorhanden).
+func (s *Store) EnsureSchema(ctx context.Context) error {
+	if _, err := s.pool.Exec(ctx, schemaMigration); err != nil {
+		return fmt.Errorf("savedsearch: schema anlegen: %w", err)
+	}
+	return nil
+}
+
+// Save legt eine gespeicherte Suche unter name an oder aktualisiert sie,
+// falls unter demselben Namen für denselben Benutzer/Mandanten bereits
+// eine existiert (Akzeptanzkriterium 1).
+func (s *Store) Save(ctx context.Context, tenantSlug, userID, name, queryText string, filters []search.FacetFilter) (int64, error) {
+	filtersJSON, err := json.Marshal(filters)
+	if err != nil {
+		return 0, fmt.Errorf("savedsearch: filter serialisieren: %w", err)
+	}
+
+	var id int64
+	err = s.pool.QueryRow(ctx, `
+		INSERT INTO mail_saved_searches (tenant_slug, user_id, name, query_text, filters)
+		VALUES ($1, $2, $3, $4, $5)
+		ON CONFLICT (tenant_slug, user_id, name) DO UPDATE
+			SET query_text = EXCLUDED.query_text, filters = EXCLUDED.filters, updated_at = now()
+		RETURNING id
+	`, tenantSlug, userID, name, queryText, filtersJSON).Scan(&id)
+	if err != nil {
+		return 0, fmt.Errorf("savedsearch: speichern: %w", err)
+	}
+	return id, nil
+}
+
+// List liefert alle gespeicherten Suchen eines Benutzers innerhalb eines
+// Mandanten (Akzeptanzkriterium 3: je Benutzer/Mandant getrennt sichtbar).
+func (s *Store) List(ctx context.Context, tenantSlug, userID string) ([]SavedSearch, error) {
+	rows, err := s.pool.Query(ctx, `
+		SELECT id, tenant_slug, user_id, name, query_text, filters
+		FROM mail_saved_searches
+		WHERE tenant_slug = $1 AND user_id = $2
+		ORDER BY name
+	`, tenantSlug, userID)
+	if err != nil {
+		return nil, fmt.Errorf("savedsearch: liste lesen: %w", err)
+	}
+	defer rows.Close()
+
+	var results []SavedSearch
+	for rows.Next() {
+		item, err := scanSavedSearch(rows)
+		if err != nil {
+			return nil, err
+		}
+		results = append(results, item)
+	}
+	if err := rows.Err(); err != nil {
+		return nil, fmt.Errorf("savedsearch: liste iterieren: %w", err)
+	}
+	return results, nil
+}
+
+// Get liefert eine einzelne gespeicherte Suche, streng auf Mandant und
+// Benutzer beschränkt.
+func (s *Store) Get(ctx context.Context, tenantSlug, userID string, id int64) (SavedSearch, error) {
+	row := s.pool.QueryRow(ctx, `
+		SELECT id, tenant_slug, user_id, name, query_text, filters
+		FROM mail_saved_searches
+		WHERE tenant_slug = $1 AND user_id = $2 AND id = $3
+	`, tenantSlug, userID, id)
+	item, err := scanSavedSearch(row)
+	if err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return SavedSearch{}, ErrNotFound
+		}
+		return SavedSearch{}, err
+	}
+	return item, nil
+}
+
+// Delete entfernt GENAU EINE gespeicherte Suche, streng auf Mandant und
+// Benutzer beschränkt (Akzeptanzkriterium/Pflichtprüfung 3: Löschen
+// entfernt nur diese eine gespeicherte Suche).
+func (s *Store) Delete(ctx context.Context, tenantSlug, userID string, id int64) error {
+	tag, err := s.pool.Exec(ctx, `
+		DELETE FROM mail_saved_searches WHERE tenant_slug = $1 AND user_id = $2 AND id = $3
+	`, tenantSlug, userID, id)
+	if err != nil {
+		return fmt.Errorf("savedsearch: löschen: %w", err)
+	}
+	if tag.RowsAffected() == 0 {
+		return ErrNotFound
+	}
+	return nil
+}
+
+type rowScanner interface {
+	Scan(dest ...any) error
+}
+
+func scanSavedSearch(row rowScanner) (SavedSearch, error) {
+	var item SavedSearch
+	var filtersJSON []byte
+	if err := row.Scan(&item.ID, &item.TenantSlug, &item.UserID, &item.Name, &item.QueryText, &filtersJSON); err != nil {
+		return SavedSearch{}, fmt.Errorf("savedsearch: zeile lesen: %w", err)
+	}
+	if err := json.Unmarshal(filtersJSON, &item.Filters); err != nil {
+		return SavedSearch{}, fmt.Errorf("savedsearch: filter parsen: %w", err)
+	}
+	return item, nil
+}
+
+// Execute führt eine gespeicherte Suche LIVE gegen client aus
+// (Akzeptanzkriterium 2: aktuelle Treffer, kein eingefrorener Snapshot —
+// Execute speichert selbst nichts zwischen, jeder Aufruf fragt Manticore
+// neu ab). Hinterlegte Filter werden über search.Client.SearchWithFilters
+// tatsächlich auf die Treffermenge angewandt (UND-Verknüpfung), nicht nur
+// auf ihr Vorhandensein geprüft.
+func Execute(ctx context.Context, client *search.Client, saved SavedSearch) ([]search.Result, error) {
+	return client.SearchWithFilters(ctx, saved.TenantSlug, saved.QueryText, saved.Filters)
+}

mail/internal/savedsearch/store_test.go

@@ -0,0 +1,202 @@
+// Integrationstest (SRC-08): echte Postgres- UND Manticore-Instanz,
+// folgt derselben TEST_*-Env-Konvention wie mail/internal/search.
+package savedsearch
+
+import (
+	"context"
+	"os"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/mail/internal/search"
+)
+
+func setupStore(t *testing.T) *Store {
+	t.Helper()
+	dsn := os.Getenv("TEST_TENANT_DSN")
+	if dsn == "" {
+		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	t.Cleanup(func() { pool.Close() })
+
+	store := NewStore(pool)
+	if err := store.EnsureSchema(ctx); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `DELETE FROM mail_saved_searches WHERE tenant_slug LIKE 'mandant-src08-%'`)
+	})
+	return store
+}
+
+func setupSearchClient(t *testing.T) *search.Client {
+	t.Helper()
+	baseURL := os.Getenv("TEST_MANTICORE_URL")
+	if baseURL == "" {
+		t.Skip("TEST_MANTICORE_URL nicht gesetzt, Integrationstest übersprungen")
+	}
+	client := search.NewClient(baseURL)
+	if err := client.EnsureSchema(context.Background()); err != nil {
+		t.Fatalf("search-schema: %v", err)
+	}
+	return client
+}
+
+// TestExecute_SavedSearchWithMultipleFiltersReproducesCorrectly ist die
+// geforderte Pflichtprüfung 1: gespeicherte Suche mit mehreren Filtern
+// wird korrekt reproduziert.
+func TestExecute_SavedSearchWithMultipleFiltersReproducesCorrectly(t *testing.T) {
+	store := setupStore(t)
+	searchClient := setupSearchClient(t)
+	ctx := context.Background()
+	tenant := "mandant-src08-filter"
+
+	docs := []search.Document{
+		{MessageID: "msg-sv-treffer", Subject: "Quartalsbericht", Sender: "alice@example.com", Mailbox: "inbox"},
+		{MessageID: "msg-sv-falscher-sender", Subject: "Quartalsbericht", Sender: "bob@example.com", Mailbox: "inbox"},
+		{MessageID: "msg-sv-falsche-mailbox", Subject: "Quartalsbericht", Sender: "alice@example.com", Mailbox: "archiv"},
+	}
+	for _, d := range docs {
+		d.TenantSlug = tenant
+		d.ID = search.DocumentID(tenant, d.MessageID)
+		if err := searchClient.Index(ctx, d); err != nil {
+			t.Fatalf("index %s: %v", d.MessageID, err)
+		}
+	}
+
+	filters := []search.FacetFilter{
+		{Field: search.FieldSender, Value: "alice@example.com"},
+		{Field: search.FieldMailbox, Value: "inbox"},
+	}
+	id, err := store.Save(ctx, tenant, "user-1", "Alice Inbox Quartalsbericht", "Quartalsbericht", filters)
+	if err != nil {
+		t.Fatalf("save: %v", err)
+	}
+
+	saved, err := store.Get(ctx, tenant, "user-1", id)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+
+	results, err := Execute(ctx, searchClient, saved)
+	if err != nil {
+		t.Fatalf("execute: %v", err)
+	}
+	if len(results) != 1 || results[0].MessageID != "msg-sv-treffer" {
+		t.Fatalf("erwartete genau msg-sv-treffer, habe: %+v", results)
+	}
+}
+
+// TestExecute_ReturnsCurrentResultsNotFrozenSnapshot deckt
+// Akzeptanzkriterium 2 ab: aktuelle Treffer, kein eingefrorener Snapshot.
+func TestExecute_ReturnsCurrentResultsNotFrozenSnapshot(t *testing.T) {
+	store := setupStore(t)
+	searchClient := setupSearchClient(t)
+	ctx := context.Background()
+	tenant := "mandant-src08-live"
+
+	docID := search.DocumentID(tenant, "msg-live-1")
+	// Verteidigung gegen Testreste eines vorherigen Laufs (Manticore wird
+	// zwischen Testläufen nicht automatisch geleert, anders als Postgres
+	// über t.Cleanup) — Ausgangszustand muss real leer sein, damit der
+	// Test die Aussage "kein eingefrorener Snapshot" beweiskräftig prüft.
+	_ = searchClient.Delete(ctx, docID)
+	t.Cleanup(func() { _ = searchClient.Delete(context.Background(), docID) })
+
+	id, err := store.Save(ctx, tenant, "user-1", "Alles zu Zylotharion", "Zylotharion", nil)
+	if err != nil {
+		t.Fatalf("save: %v", err)
+	}
+	saved, err := store.Get(ctx, tenant, "user-1", id)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+
+	before, err := Execute(ctx, searchClient, saved)
+	if err != nil {
+		t.Fatalf("execute (vorher): %v", err)
+	}
+	if len(before) != 0 {
+		t.Fatalf("erwartete 0 treffer vor indexierung, habe %d", len(before))
+	}
+
+	if err := searchClient.Index(ctx, search.Document{
+		ID:         docID,
+		TenantSlug: tenant,
+		MessageID:  "msg-live-1",
+		Subject:    "Neuigkeiten zu Zylotharion",
+	}); err != nil {
+		t.Fatalf("index: %v", err)
+	}
+
+	after, err := Execute(ctx, searchClient, saved)
+	if err != nil {
+		t.Fatalf("execute (nachher): %v", err)
+	}
+	if len(after) != 1 {
+		t.Fatalf("erwartete 1 aktuellen treffer nach neuer indexierung (kein eingefrorener snapshot), habe %d", len(after))
+	}
+}
+
+// TestList_UserSeesNoOtherTenantsSavedSearches ist die geforderte
+// Pflichtprüfung 2: Benutzer sieht keine gespeicherten Suchen anderer
+// Mandanten.
+func TestList_UserSeesNoOtherTenantsSavedSearches(t *testing.T) {
+	store := setupStore(t)
+	ctx := context.Background()
+	tenantA := "mandant-src08-iso-a"
+	tenantB := "mandant-src08-iso-b"
+
+	if _, err := store.Save(ctx, tenantA, "user-1", "Suche A", "irgendwas", nil); err != nil {
+		t.Fatalf("save mandant a: %v", err)
+	}
+	if _, err := store.Save(ctx, tenantB, "user-1", "Suche B", "irgendwas", nil); err != nil {
+		t.Fatalf("save mandant b: %v", err)
+	}
+
+	listB, err := store.List(ctx, tenantB, "user-1")
+	if err != nil {
+		t.Fatalf("list mandant b: %v", err)
+	}
+	if len(listB) != 1 || listB[0].Name != "Suche B" {
+		t.Fatalf("mandant b sieht fremde/fehlende suchen: %+v", listB)
+	}
+}
+
+// TestDelete_RemovesOnlyThatSavedSearch ist die geforderte Pflichtprüfung
+// 3: Löschen einer gespeicherten Suche entfernt nur diese.
+func TestDelete_RemovesOnlyThatSavedSearch(t *testing.T) {
+	store := setupStore(t)
+	ctx := context.Background()
+	tenant := "mandant-src08-delete"
+
+	idA, err := store.Save(ctx, tenant, "user-1", "Suche A", "a", nil)
+	if err != nil {
+		t.Fatalf("save a: %v", err)
+	}
+	idB, err := store.Save(ctx, tenant, "user-1", "Suche B", "b", nil)
+	if err != nil {
+		t.Fatalf("save b: %v", err)
+	}
+
+	if err := store.Delete(ctx, tenant, "user-1", idA); err != nil {
+		t.Fatalf("delete a: %v", err)
+	}
+
+	if _, err := store.Get(ctx, tenant, "user-1", idA); err != ErrNotFound {
+		t.Fatalf("erwartete ErrNotFound für gelöschte suche a, habe: %v", err)
+	}
+	stillThere, err := store.Get(ctx, tenant, "user-1", idB)
+	if err != nil {
+		t.Fatalf("suche b sollte weiterhin existieren: %v", err)
+	}
+	if stillThere.Name != "Suche B" {
+		t.Fatalf("unerwarteter inhalt für suche b: %+v", stillThere)
+	}
+}

mail/internal/search/facets.go

@@ -79,12 +79,11 @@ func isFacetField(field string) bool {
 	return false
 }
 
-// Facets berechnet für jede Filterdimension (Akzeptanzkriterium 1) die
+// buildFilteredMust baut die gemeinsame bool.must-Liste für Facets und
-// Trefferzahl je Wert, mandantengetrennt (Akzeptanzkriterium 3) und unter
+// SearchWithFilters: Tenant-Filter zwingend, optionaler Suchtext, dann je
-// Berücksichtigung bereits gewählter Filter (Akzeptanzkriterium 2: mehrere
+// Filter eine zusätzliche equals-Klausel (UND-Verknüpfung) — einzige
-// Filter kombinieren sich als UND-Verknüpfung in derselben bool.must-Liste
+// Stelle, an der Filter-Feldnamen gegen FacetFields geprüft werden.
-// wie der Tenant-Filter).
+func buildFilteredMust(tenantSlug, queryText string, filters []FacetFilter) ([]map[string]any, error) {
-func (c *Client) Facets(ctx context.Context, tenantSlug, queryText string, filters []FacetFilter) (FacetResult, error) {
 	must := []map[string]any{
 		{"equals": map[string]any{FieldTenantSlug: tenantSlug}},
 	}
@@ -93,10 +92,71 @@ func (c *Client) Facets(ctx context.Context, tenantSlug, queryText string, filte
 	}
 	for _, f := range filters {
 		if !isFacetField(f.Field) {
-			return FacetResult{}, fmt.Errorf("search: unbekanntes facettenfeld %q", f.Field)
+			return nil, fmt.Errorf("search: unbekanntes facettenfeld %q", f.Field)
 		}
 		must = append(must, map[string]any{"equals": map[string]any{f.Field: f.Value}})
 	}
+	return must, nil
+}
+
+// SearchWithFilters ist Search, zusätzlich beschränkt auf Dokumente, die
+// ALLE angegebenen Filter erfüllen (UND-Verknüpfung, dieselbe Semantik wie
+// Facets) — Grundlage für SRC-08s Wiederausführung gespeicherter Suchen
+// mit Filtern.
+func (c *Client) SearchWithFilters(ctx context.Context, tenantSlug, queryText string, filters []FacetFilter) ([]Result, error) {
+	if len(filters) == 0 {
+		return c.Search(ctx, tenantSlug, queryText)
+	}
+	must, err := buildFilteredMust(tenantSlug, queryText, filters)
+	if err != nil {
+		return nil, err
+	}
+
+	payload := map[string]any{
+		"index": IndexName,
+		"query": map[string]any{"bool": map[string]any{"must": must}},
+		"options": map[string]any{
+			"field_weights": fieldWeights,
+		},
+		"limit": searchResultLimit,
+	}
+	body, err := json.Marshal(payload)
+	if err != nil {
+		return nil, fmt.Errorf("search: gefilterte suchanfrage serialisieren: %w", err)
+	}
+
+	respBody, err := c.doSearchWithSwapRetry(ctx, body)
+	if err != nil {
+		return nil, err
+	}
+
+	var parsed searchResponse
+	if err := json.Unmarshal(respBody, &parsed); err != nil {
+		return nil, fmt.Errorf("search: antwort parsen: %w", err)
+	}
+
+	results := make([]Result, 0, len(parsed.Hits.Hits))
+	for _, hit := range parsed.Hits.Hits {
+		results = append(results, Result{
+			MessageID:       hit.Source.MessageID,
+			Subject:         hit.Source.Subject,
+			Score:           hit.Score,
+			SentAtUnixEpoch: hit.Source.SentAtUnixEpoch,
+		})
+	}
+	return results, nil
+}
+
+// Facets berechnet für jede Filterdimension (Akzeptanzkriterium 1) die
+// Trefferzahl je Wert, mandantengetrennt (Akzeptanzkriterium 3) und unter
+// Berücksichtigung bereits gewählter Filter (Akzeptanzkriterium 2: mehrere
+// Filter kombinieren sich als UND-Verknüpfung in derselben bool.must-Liste
+// wie der Tenant-Filter).
+func (c *Client) Facets(ctx context.Context, tenantSlug, queryText string, filters []FacetFilter) (FacetResult, error) {
+	must, err := buildFilteredMust(tenantSlug, queryText, filters)
+	if err != nil {
+		return FacetResult{}, err
+	}
 
 	aggs := map[string]any{}
 	for _, field := range FacetFields {