feat: Angebundene Konten buchen selbst – der Saldo kann nicht abweichen

Bisher legte der Bankabruf Vorschlaege in den Eingang, die man von Hand buchen
musste. Ein angebundenes Konto ist aber die Quelle der Wahrheit: Was die Bank
gebucht hat, IST gebucht. Jetzt wird es sofort gebucht; uebrig bleibt das
Zuordnen der Kategorie.

Drei Dinge mussten dafuer stimmen, sonst haette es Salden verfaelscht:

- Der erste Abruf greift nicht mehr hinter die neueste vorhandene Buchung des
  Kontos zurueck. Vorher holte er neunzig Tage – mitten in Monate, die schon
  per CSV eingelesen sind. Der Duplikatschutz haette die nicht gefunden: Sein
  Schluessel enthaelt den Empfaengertext, und der lautet bei der Bank anders
  als im Kontoauszug. Das Startdatum steht in der Rueckmeldung.
- Vorgemerkte Umsaetze werden nicht gebucht. Sie kommen spaeter noch einmal,
  dann mit anderer Kennung, weil die Bank beim Buchen eine neue vergibt.
  Beides zu nehmen hiesse doppelt buchen. Ihre Zahl wird gemeldet, nicht
  verschwiegen.
- Nach dem Buchen wird nach Uebertraegen gesucht. Ein Uebertrag zwischen zwei
  angebundenen Konten kommt in EINEM Abruf an – beide Seiten.

Nebenbei schliesst das eine bestehende Luecke: Der Eingangs-Abgleich beim
CSV-Import sieht nur gebuchte Eintraege. Solange Bank-Vorschlaege unbeachtet
liegen blieben, haette ein spaeterer Import derselben Wochen sie verdoppelt.

Das Buchen aus dem Eingang ist dafuer vom Router in einen Dienst gewandert;
zwei Kopien derselben Umrechnung waeren genau die Stelle, an der Salden
auseinanderlaufen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/tests/test_bank.py

@@ -13,6 +13,7 @@ die Anbindung sonst als Erstes, und der Fehler wäre von aussen nicht zu sehen.
 import base64
 import json
 import secrets
+from datetime import date
 
 import pytest
 from cryptography.hazmat.primitives import hashes, serialization
@@ -42,6 +43,7 @@ class FakeBank:
         }]
         self.seiten = seiten
         self.aufrufe: list[str] = []
+        self.date_from: str | None = None
         self.jwt: str | None = None
 
     def __call__(self, methode, pfad, headers=None, json=None, **kw):
@@ -65,11 +67,18 @@ class FakeBank:
         if "/balances" in pfad:
             return 200, {"balances": self.salden}
         if "/transactions" in pfad:
+            if "date_from=" in pfad:
+                self.date_from = pfad.split("date_from=")[1].split("&")[0]
+            # Wie die echte Schnittstelle nur ab dem angefragten Tag liefern –
+            # sonst prüfte kein Test, ob das Startdatum überhaupt wirkt.
+            passend = [u for u in self.umsaetze
+                       if not self.date_from
+                       or str(u.get("booking_date", ""))[:10] >= self.date_from]
             # Blättern nachstellen: erst mit Fortsetzungsschlüssel, dann ohne.
             hat_schluessel = "continuation_key=" in pfad
             if self.seiten > 1 and not hat_schluessel:
-                return 200, {"transactions": self.umsaetze[:1], "continuation_key": "s2"}
-            rest = self.umsaetze[1:] if self.seiten > 1 else self.umsaetze
+                return 200, {"transactions": passend[:1], "continuation_key": "s2"}
+            rest = passend[1:] if self.seiten > 1 else passend
             return 200, {"transactions": rest}
         return 404, {"message": "unbekannt"}
 
@@ -289,8 +298,9 @@ def test_ohne_zuordnung_wird_nichts_geholt(admin, fake_bank):
     assert r.json()["neu"] == 0
 
 
-def test_umsatz_landet_als_vorschlag_im_eingang(admin, fake_bank):
-    """Nichts wird gebucht – die Bank liefert Vorschläge wie Mail und Kurzbefehl."""
+def test_umsatz_wird_sofort_gebucht(admin, fake_bank):
+    """Ein angebundenes Konto ist die Quelle der Wahrheit: Was die Bank gebucht
+    hat, IST gebucht. Nur so kann Certains Saldo gar nicht erst abweichen."""
     verbindung, link, _ = _verbunden(admin, fake_bank, umsaetze=[UMSATZ])
     konto = _konto(admin, name="N26 fuer Abruf", currency="EUR")
     admin.post(f"/api/bank/links/{link['id']}/account/{konto['id']}")
@@ -298,6 +308,7 @@ def test_umsatz_landet_als_vorschlag_im_eingang(admin, fake_bank):
     r = admin.post(f"/api/bank/connections/{verbindung}/sync")
     assert r.status_code == 200, r.text
     assert r.json()["neu"] == 1
+    assert r.json()["gebucht"] == 1
 
     treffer = [e for e in admin.get("/api/inbox").json()
                if e["payee"] == "SPEEDEE RESTAURATIONS"]
@@ -306,12 +317,67 @@ def test_umsatz_landet_als_vorschlag_im_eingang(admin, fake_bank):
     assert treffer[0]["amount_cents"] == -1490
     assert treffer[0]["date"] == "2026-08-20"
     assert treffer[0]["source"] == "bank"
-    assert treffer[0]["status"] == "pending"
-    assert treffer[0]["transaction_id"] is None
-    # Und der Saldo hat sich nicht bewegt.
+    assert treffer[0]["status"] == "booked"
+    assert treffer[0]["transaction_id"] is not None
+    # Der Saldo steht sofort richtig, ohne dass jemand etwas tun musste.
+    assert admin.get(f"/api/accounts/{konto['id']}").json()["balance_cents"] == -1490
+
+
+def test_zweiter_abruf_bucht_nicht_doppelt(admin, fake_bank):
+    """Der Rueckgriff hinter den letzten Abruf holt dieselben Umsaetze noch
+    einmal. Die Kennung des Umsatzes muss sie exakt abfangen."""
+    # Ein Umsatz von heute: Der zweite Abruf greift nur wenige Tage zurueck,
+    # ein alter faende sich dort gar nicht wieder.
+    heute = dict(UMSATZ, booking_date=date.today().isoformat())
+    verbindung, link, _ = _verbunden(admin, fake_bank, umsaetze=[heute])
+    konto = _konto(admin, name="Kein Doppel", currency="EUR")
+    admin.post(f"/api/bank/links/{link['id']}/account/{konto['id']}")
+
+    admin.post(f"/api/bank/connections/{verbindung}/sync")
+    zweiter = admin.post(f"/api/bank/connections/{verbindung}/sync").json()
+    assert zweiter["geholt"] >= 1, "derselbe Umsatz kam wieder"
+    assert zweiter["neu"] == 0
+    assert zweiter["gebucht"] == 0
+    assert admin.get(f"/api/accounts/{konto['id']}").json()["balance_cents"] == -1490
+
+
+def test_vorgemerkte_werden_nicht_gebucht_sondern_gemeldet(admin, fake_bank):
+    """Vorgemerkte kommen spaeter noch einmal – dann mit anderer Kennung, weil
+    die Bank beim Buchen eine neue vergibt. Beides zu nehmen hiesse doppelt."""
+    schwebend = dict(UMSATZ, entry_reference="tx-pdng", status="PDNG")
+    verbindung, link, _ = _verbunden(admin, fake_bank, umsaetze=[schwebend])
+    konto = _konto(admin, name="Nur Vormerkung", currency="EUR")
+    admin.post(f"/api/bank/links/{link['id']}/account/{konto['id']}")
+
+    r = admin.post(f"/api/bank/connections/{verbindung}/sync").json()
+    assert r["vorgemerkt"] == 1
+    assert r["neu"] == 0
+    # Nicht stillschweigend verworfen – die Zahl steht in der Rueckmeldung.
     assert admin.get(f"/api/accounts/{konto['id']}").json()["balance_cents"] == 0
 
 
+def test_erster_abruf_greift_nicht_hinter_vorhandene_buchungen(admin, fake_bank):
+    """Sonst holte die Bank Monate, die schon per CSV eingelesen sind. Der
+    Duplikatschutz faende die nicht: Sein Schluessel enthaelt den
+    Empfaengertext, und der lautet bei der Bank anders als im Auszug."""
+    verbindung, link, gegenstelle = _verbunden(admin, fake_bank, umsaetze=[UMSATZ])
+    konto = _konto(admin, name="Schon gepflegt", currency="EUR")
+    admin.post(f"/api/bank/links/{link['id']}/account/{konto['id']}")
+
+    # So sieht ein per CSV eingelesener August aus.
+    admin.post("/api/transactions", json={
+        "type": "expense", "date": "2026-08-20", "account_id": konto["id"],
+        "amount_cents": 1490, "payee": "SPEEDEE RESTAURATIONS ZUERICH",
+    })
+
+    r = admin.post(f"/api/bank/connections/{verbindung}/sync").json()
+    assert r["ab"] == "2026-08-21", "ab dem Tag NACH der letzten Buchung"
+    assert gegenstelle.date_from == "2026-08-21"
+    # Der Umsatz vom 20. liegt davor und kommt gar nicht erst an.
+    assert r["neu"] == 0
+    assert admin.get(f"/api/accounts/{konto['id']}").json()["balance_cents"] == -1490
+
+
 def test_gutschrift_kommt_als_einnahme_an(admin, fake_bank):
     gutschrift = dict(UMSATZ, entry_reference="tx-crdt",
                       credit_debit_indicator="CRDT",