feat: Vorschlaege buchen und Telefon-Dateien nur ablegen

Zwei Luecken geschlossen:

Mail-Vorschlaege standen als "pending" im Eingang, aber es gab keinen Knopf
zum Buchen – der Weg war hinten offen. Jetzt je Eintrag "Buchen" und ein
"Alle buchen". Unklare bleiben liegen: Bei ihnen fehlt etwas oder die
Erkennung war unsicher, die soll man ansehen statt im Stapel durchzuwinken.

Der Auszug vom Telefon bucht nicht mehr sofort, sondern wird nur abgelegt.
Am Telefon prueft man keine 500 Zeilen; die Datei wartet in der
Import-Ansicht und laeuft dort durch die normale Vorschau mit
Saldo-Abgleich, Zeilenfilter und Duplikatpruefung.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/tests/test_mail_import.py

@@ -399,3 +399,48 @@ def test_zuordnung_mit_waehrung_schlaegt_die_allgemeine(admin, monkeypatch):
 
     treffer = [e for e in admin.get("/api/inbox").json() if e["amount_cents"] == -1200]
     assert treffer and treffer[0]["account_id"] == eur["id"]
+
+
+def test_mailvorschlag_wird_erst_auf_knopfdruck_gebucht(admin, fake_imap):
+    """Eine Mail bucht nie von selbst – aber sie muss sich buchen lassen."""
+    konto = _konto(admin, name="Buchbar", opening_balance_cents=0)
+    quelle = _postfach(admin)
+    admin.post(f"/api/mail/sources/{quelle['id']}/senders", json={
+        "from_contains": "raiffeisen", "account_id": konto["id"]})
+
+    roh = (MUSTER / "raiffeisen_zahlungsstatus.eml").read_bytes().replace(
+        b"<raiffeisen-muster-1@", b"<buchbar-1@")
+    import unittest.mock as _m
+    with _m.patch.object(mail_import, "_verbinden", lambda q: FakeImap([roh])):
+        admin.post(f"/api/mail/sources/{quelle['id']}/fetch")
+
+    eintrag = [e for e in admin.get("/api/inbox").json()
+               if e["account_id"] == konto["id"]][0]
+    assert eintrag["status"] == "pending"
+    assert admin.get(f"/api/accounts/{konto['id']}").json()["balance_cents"] == 0
+
+    r = admin.post(f"/api/inbox/{eintrag['id']}/book")
+    assert r.status_code == 200, r.text
+    assert r.json()["status"] == "booked"
+    assert admin.get(f"/api/accounts/{konto['id']}").json()["balance_cents"] == -1490
+
+    # Zweimal buchen darf den Saldo nicht verdoppeln.
+    admin.post(f"/api/inbox/{eintrag['id']}/book")
+    assert admin.get(f"/api/accounts/{konto['id']}").json()["balance_cents"] == -1490
+
+
+def test_unklare_vorschlaege_werden_nicht_mitgebucht(admin, fake_imap):
+    """Ohne Zielkonto oder mit unsicherer Erkennung: liegen lassen, nicht durchwinken."""
+    quelle = _postfach(admin)
+    admin.post(f"/api/mail/sources/{quelle['id']}/senders", json={"from_contains": "revolut"})
+    roh = (MUSTER / "revolut_ueberweisung.eml").read_bytes().replace(
+        b"<revolut-muster-1@", b"<unklar-bleibt@")
+    import unittest.mock as _m
+    with _m.patch.object(mail_import, "_verbinden", lambda q: FakeImap([roh])):
+        admin.post(f"/api/mail/sources/{quelle['id']}/fetch")
+
+    unklare = [e for e in admin.get("/api/inbox").json() if e["status"] == "unclear"]
+    assert unklare
+    admin.post("/api/inbox/book-all")
+    danach = admin.get("/api/inbox").json()
+    assert all(e["status"] == "unclear" for e in danach if e["id"] == unklare[0]["id"])