feat: Phase 1 – Konten, Kategorien, Transaktionen, EZB-Währungsumrechnung

Backend:
- Modelle + Migration 0002: accounts, account_identifiers, category_groups,
  categories, transactions, exchange_rates (alle owner-gescoped).
- EZB-Kursdienst (90-Tage/Historie) + Backfill-Skript; Umrechnung EUR<->CHF zum
  Buchungsdatum mit lokalem Cache und manueller Übersteuerung; EUR-Pivot
  (amount_eur_cents) eingefroren.
- Kontostände + Netto-Vermögen (Umrechnung in Hauptwährung).
- Router: accounts (inkl. IBAN-Identifikatoren), categories (Gruppen+Kategorien),
  transactions (Ausgabe/Einnahme/Transfer, cross-currency), rates.
- Gruppierte Standard-Kategorien je Nutzer beim Anlegen.
- pytest-Suite: Währung, Salden, Cross-Currency-Transfer, Nutzer-Isolation.

Frontend:
- Seiten Konten, Kategorien, Buchungen; Icon-Chip, Geldbetrag mit Umrechnung,
  Icon-/Farbwähler, Modal; erweitertes SVG-Icon-Set (Konto-/Kategorie-Icons).
- Währungs-/Datumsformatierung (EUR de-DE, CHF de-CH), i18n DE/EN erweitert.
- Live-Umrechnungs-Vorschau im Transfer-Formular.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/tests/test_isolation.py

@@ -0,0 +1,33 @@
+import secrets
+from datetime import date
+
+
+def test_users_are_isolated(admin):
+    from fastapi.testclient import TestClient
+    from app.main import app
+
+    # Admin legt ein Konto an.
+    acc = admin.post("/api/accounts", json={"name": "AdminKonto", "currency": "EUR"}).json()
+
+    # Frischen Nutzer anlegen und getrennt einloggen.
+    username = "iso_" + secrets.token_hex(4)
+    password = "pw_" + secrets.token_hex(4)
+    assert admin.post("/api/users", json={"username": username, "password": password, "role": "user"}).status_code == 201
+
+    other = TestClient(app)
+    assert other.post("/api/auth/login", data={"username": username, "password": password}).status_code == 200
+
+    # Sieht keine fremden Konten/Buchungen.
+    assert other.get("/api/accounts").json() == []
+    assert other.get("/api/transactions").json() == []
+    # Zugriff auf fremdes Konto -> 404 (nicht 403: existiert für ihn schlicht nicht).
+    assert other.get(f"/api/accounts/{acc['id']}").status_code == 404
+    # Buchung auf fremdes Konto -> 404.
+    r = other.post("/api/transactions", json={
+        "type": "expense", "date": str(date.today()), "account_id": acc["id"], "amount_cents": 100,
+    })
+    assert r.status_code == 404
+    # Eigene Startkategorien sind vorhanden.
+    assert len(other.get("/api/categories").json()) >= 6
+    # Kein Admin: darf keine Nutzer listen.
+    assert other.get("/api/users").status_code == 403