fix: Uebertrag pruefen, ob die Gegenseite schon gebucht ist

Ein Franken-in-Euro-Tausch stand zweimal da: die CHF-Seite als Uebertrag nach
Revolut Euro, die EUR-Seite weiterhin als eigene Einnahme. Revolut Euro war
damit doppelt gutgeschrieben. Drei Fehler auf einmal.

Erstens prueft "zum Uebertrag machen" jetzt, ob die Buchung bereits mit ihrer
Gegenseite VERBUNDEN ist. Dann sind beide Seiten gebucht und zaehlen schon in
keiner Auswertung; ein Uebertrag bewegt das Geld auf dem Zielkonto ein zweites
Mal. Das laesst sich auch nicht mit "trotzdem" wegdruecken – es ist nicht
Ansichtssache.

Zweitens wird auf dem Zielkonto nach einer passenden gebuchten Gegenseite
gesehen, auch ohne Verknuepfung: gleiche Tage, passender Betrag, ueber
Waehrungen hinweg mit Spielraum. Findet sich eine, kommt die Warnung samt dem
richtigen Weg – die beiden verbinden statt einen Uebertrag anzulegen. Der
Treffer ist unscharf, deshalb hier mit "trotzdem" uebergehbar.

Drittens der beobachtete Punkt: Der nachtraegliche Weg reichte den
Eingangs-Eintrag nicht durch und rechnete deshalb IMMER mit dem EZB-Kurs, auch
wenn die Bank ihren eigenen genannt hatte. Jetzt wird er nachgeschlagen, und
der Kurs der Bank landet an der Buchung.

Und Loeschen raeumt die Eingangs-Eintraege mit. Der Fremdschluessel setzt sonst
nur ihre Verweisspalte auf NULL, und sie blieben als "gebucht" ohne Buchung
stehen – bei einem Uebertrag sind das zwei.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/tests/test_inbox.py

@@ -351,3 +351,85 @@ def test_api_antworten_werden_nicht_zwischengespeichert(admin):
     assert r.headers.get("cache-control") == "no-store"
     r = admin.get("/api/accounts")
     assert r.headers.get("cache-control") == "no-store"
+
+
+def test_verknuepfte_buchung_wird_nicht_zum_uebertrag(admin):
+    """Sind beide Seiten gebucht und verbunden, waere ein Uebertrag falsch: Er
+    bewegt das Geld auf dem Zielkonto ein zweites Mal."""
+    a = _konto(admin, name=f"Verk-A {secrets.token_hex(3)}", currency="CHF")
+    b = _konto(admin, name=f"Verk-B {secrets.token_hex(3)}", currency="CHF")
+    betrag = 11000 + secrets.randbelow(900)
+    raus = admin.post("/api/transactions", json={
+        "type": "expense", "date": "2026-08-15", "account_id": a["id"],
+        "amount_cents": betrag, "payee": "Umbuchung"}).json()
+    rein = admin.post("/api/transactions", json={
+        "type": "income", "date": "2026-08-15", "account_id": b["id"],
+        "amount_cents": betrag, "payee": "Umbuchung"}).json()
+    assert admin.post("/api/uebertraege/verbinden",
+                      json={"a_id": raus["id"], "b_id": rein["id"]}).status_code == 200
+
+    r = admin.post(f"/api/transactions/{raus['id']}/transfer",
+                   json={"to_account_id": b["id"]})
+    assert r.status_code == 400, r.text
+    assert "verbunden" in r.json()["detail"]
+    # Auch mit "trotzdem" nicht – es ist nachweislich falsch, keine Ansichtssache.
+    r = admin.post(f"/api/transactions/{raus['id']}/transfer",
+                   json={"to_account_id": b["id"], "trotzdem": True})
+    assert r.status_code == 400
+
+
+def test_schon_gebuchte_gegenseite_wird_gemeldet(admin):
+    """Ohne diese Warnung stuende das Geld auf dem Zielkonto zweimal."""
+    a = _konto(admin, name=f"Doppel-A {secrets.token_hex(3)}", currency="CHF")
+    b = _konto(admin, name=f"Doppel-B {secrets.token_hex(3)}", currency="CHF")
+    betrag = 12000 + secrets.randbelow(900)
+    raus = admin.post("/api/transactions", json={
+        "type": "expense", "date": "2026-08-16", "account_id": a["id"],
+        "amount_cents": betrag}).json()
+    # Die Gegenseite liegt schon gebucht auf B – nur eben unverbunden.
+    admin.post("/api/transactions", json={
+        "type": "income", "date": "2026-08-17", "account_id": b["id"],
+        "amount_cents": betrag})
+
+    r = admin.post(f"/api/transactions/{raus['id']}/transfer",
+                   json={"to_account_id": b["id"]})
+    assert r.status_code == 409, r.text
+    assert "verbinden" in r.json()["detail"]
+    assert admin.get(f"/api/accounts/{b['id']}").json()["balance_cents"] == betrag
+
+    # Der Treffer ist unscharf (Datum, Betrag) – wer es besser weiss, kommt durch.
+    r = admin.post(f"/api/transactions/{raus['id']}/transfer",
+                   json={"to_account_id": b["id"], "trotzdem": True})
+    assert r.status_code == 200, r.text
+
+
+def test_uebertrag_nimmt_den_kurs_der_bank_auch_nachtraeglich(admin):
+    """Der Eingangs-Eintrag traegt den Kurs. Ohne ihn bliebe hier nur die
+    EZB-Naeherung – und die passt nicht auf den Rappen."""
+    from app.database import SessionLocal
+    from app.models import InboxItem
+
+    chf = _konto(admin, name=f"Kurs-CHF {secrets.token_hex(3)}", currency="CHF")
+    eur = _konto(admin, name=f"Kurs-EUR {secrets.token_hex(3)}", currency="EUR")
+    txn = admin.post("/api/transactions", json={
+        "type": "expense", "date": "2026-08-18", "account_id": chf["id"],
+        "amount_cents": 40000, "payee": "Exchanged to EUR"}).json()
+
+    # So sieht es aus, wenn die Bank ihren Kurs mitgeliefert hat.
+    db = SessionLocal()
+    try:
+        db.add(InboxItem(
+            owner_id=admin.get("/api/auth/me").json()["id"],
+            source="bank", status="booked", account_id=chf["id"],
+            date=__import__("datetime").date(2026, 8, 18), amount_cents=-40000,
+            currency="CHF", payee="Exchanged to EUR", transaction_id=txn["id"],
+            counter_amount_cents=42532, counter_currency="EUR"))
+        db.commit()
+    finally:
+        db.close()
+
+    r = admin.post(f"/api/transactions/{txn['id']}/transfer",
+                   json={"to_account_id": eur["id"]})
+    assert r.status_code == 200, r.text
+    assert r.json()["to_amount_cents"] == 42532, "der Betrag der Bank, nicht der gerechnete"
+    assert admin.get(f"/api/accounts/{eur['id']}").json()["balance_cents"] == 42532