security: H-1 settings-Whitelist + H-5 UUID-Guard + H-6 DNS-Pinning + H-7 Heartbeat-Timing

H-1: company.settings als typisiertes Sub-Schema
- schemas/company.py: CompanySettingsUpdate mit extra=forbid
- Nur bekannte Keys (carryover_expires_month/day) erlaubt
- Unbekannte Keys → HTTP 422

H-5: SQL-Injection defensiv absichern
- dependencies.py: UUID-Round-Trip str(_uuid.UUID(...)) + Sicherheitskommentar

H-6: CalDAV DNS-Rebinding-Schutz
- caldav_service.py: PinnedIPTransport — IP einmal auflösen, beim Request fixieren
- _validate_caldav_url gibt aufgelöste IP zurück
- Alle HTTP-Methoden nutzen PinnedIPTransport

H-7: Heartbeat-Timestamp nach Route-Logik
- kiosk_security.py: last_heartbeat_at-Update aus Dependency entfernt
- kiosk_service.py: Update erst in process_heartbeat() nach erfolgreicher Auth

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

backend/app/schemas/company.py

@@ -1,12 +1,25 @@
 import uuid
 from typing import Literal
 
-from pydantic import BaseModel, Field
+from pydantic import BaseModel, ConfigDict, Field
 
 
 PersonnelNumberModeT = Literal["manual", "auto"]
 
 
+class CompanySettingsUpdate(BaseModel):
+    """Validiertes Sub-Schema für das company.settings JSONB-Feld.
+
+    Nur bekannte Top-Level-Keys sind erlaubt (extra="forbid").
+    Derzeit genutzte Keys: carryover_expires_month, carryover_expires_day
+    (gelesen in absences.py für Resturlaub-Verfall-Berechnung).
+    """
+    model_config = ConfigDict(extra="forbid")
+
+    carryover_expires_month: int | None = Field(None, ge=1, le=12)
+    carryover_expires_day: int | None = Field(None, ge=1, le=31)
+
+
 class CompanyOut(BaseModel):
     model_config = {"from_attributes": True}
 
@@ -37,7 +50,7 @@ class CompanyOut(BaseModel):
 class CompanyUpdate(BaseModel):
     name: str | None = Field(None, min_length=2, max_length=255)
     state: str | None = Field(None, max_length=10)
-    settings: dict | None = None
+    settings: CompanySettingsUpdate | None = None
     personnel_number_required: bool | None = None
     personnel_number_mode: PersonnelNumberModeT | None = None
     personnel_number_next: int | None = Field(None, ge=1)