fix(security): Mandanten-Isolation + Rechte-Ausweitung geschlossen (v1.6.3)

Aus interner Sicherheits-Review (verifiziert):

- Rapporte (GET+POST /api/rapports): Tenant-Check via getProjectWithTenantCheck
  ergänzt — vorher konnte jeder eingeloggte Nutzer mit fremder projectId
  Rapporte fremder Mandanten auflisten (inkl. Token → voller Inhalt) bzw.
  anlegen. POST blockt jetzt zusätzlich VIEWER.
- Plan-Bild (GET .../plan-image/serve): globaler Lookup → getProjectWithTenantCheck.
- Journal-Suggestions (GET /api/tenants/[tenantId]/suggestions): Membership-Check
  ergänzt (kein Cross-Tenant-Lesen mehr).
- Admin-User-Anlegen: Nicht-SERVER_ADMIN kann nur noch im EIGENEN Tenant anlegen
  (mitgeschickte tenantId aus dem Body wird ignoriert) — verhindert Rechte-
  Ausweitung in fremde Organisationen.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

src/app/api/admin/users/route.ts

@@ -69,7 +69,11 @@ export async function POST(req: NextRequest) {
     }
 
     const hashedPassword = await hashPassword(data.password)
-    const tenantId = data.tenantId || session.tenantId
+    // Rechte-Ausweitung verhindern: Nicht-SERVER_ADMIN darf NUR im eigenen Tenant
+    // anlegen — der mitgeschickte tenantId aus dem Body wird ignoriert.
+    const tenantId = session.role === 'SERVER_ADMIN'
+      ? (data.tenantId || session.tenantId)
+      : session.tenantId
 
     const user = await (prisma as any).user.create({
       data: {