Login nur fuer Mitarbeiter (Label), Kunden-Konten werden abgewiesen

Kunden haben Konten im selben Appwrite-Projekt und konnten sich mit ihrem
Portal-Passwort im Ticketsystem anmelden; dabei entstand sogar automatisch ein
employees-Eintrag.

- lib/staffAccess.js: Zugang nur mit Label "mitarbeiter" oder "admin"
- AuthContext: Konto ohne Label -> Sitzung sofort beenden, Hinweis aufs
  Kundenportal (Login, Neuladen, nach dem 2FA-Code); employees-Eintrag nur
  noch fuer Mitarbeiter
- setup-legal.mjs: Rechte nur fuer die Labels (ein erneuter Lauf oeffnet
  nichts mehr fuer "users")

Die eigentliche Sperre sind die Appwrite-Rechte (Kundenportal
scripts/mitarbeiter-zugang.mjs --rechte).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

src/pages/LoginPage.jsx

@@ -3,6 +3,7 @@ import { useNavigate, useLocation } from 'react-router-dom'
 import { useAuth } from '../context/AuthContext'
 import LetterGlitch from '../components/LetterGlitch'
 import { safeReturnPath } from '../lib/returnPath'
+import { NO_STAFF_ACCESS } from '../lib/staffAccess'
 
 export default function LoginPage() {
   const [email, setEmail] = useState('')
@@ -33,7 +34,9 @@ export default function LoginPage() {
         // Bessere Fehlermeldungen
         let errorMessage = result.error || 'Login fehlgeschlagen'
         
-        if (errorMessage.includes('Invalid credentials') || errorMessage.includes('401')) {
+        if (errorMessage === NO_STAFF_ACCESS) {
+          // Kunden-Konto: Hinweis unveraendert anzeigen
+        } else if (errorMessage.includes('Invalid credentials') || errorMessage.includes('401')) {
           errorMessage = 'Ungültige Email oder Passwort. Bitte überprüfe deine Eingaben.'
         } else if (errorMessage.includes('Email/Password') || errorMessage.includes('auth')) {
           errorMessage = 'Email/Password Authentifizierung ist möglicherweise nicht aktiviert. Bitte überprüfe deine Appwrite-Konfiguration.'