Chat: Bilder, Kamerafoto, Dateien und Sprachnachrichten

- Kundenbereich und Admin-Chat: Bueroklammer-Menue (Bild, Kamera, Datei),
  Mikrofon fuer Sprachnachrichten, Vorschau vor dem Senden mit
  Upload-Fortschritt, Einfuegen (Strg+V) und Hineinziehen von Dateien
- Kamera: am Handy/Tablet die Kamera-App, am Rechner die Kamera im Browser
  mit Vorschau, Kamerawechsel und "Nochmal"
- Sprachnachricht: Aufnahme mit Zeit und Pegel, vorher anhoerbar oder
  direkt senden, hoechstens 5 Minuten
- Verlauf: Bilder (einzeln bzw. Raster, Grossansicht), Player fuer
  Sprachnachrichten, Datei-Kacheln mit Download
- Server: jede Datei einzeln roh hochgeladen (max. 25 MB, 10 je Nachricht,
  max. 3 gleichzeitig), Typ aus dem Inhalt, nur erlaubte Endungen, keine
  Programme; Ablage unter upload-data/chat/<Kunde>/ ausserhalb von public/,
  Auslieferung nur mit Login; Bilder, Audio und PDF inline, alles andere
  als Download (nosniff, CSP sandbox)
- Nicht gesendete Anhaenge werden nach 24 Stunden geloescht
- Benachrichtigungs-Mail nennt nur Art und Namen der Anhaenge
- Appwrite: neues Attribut portalMessages.attachments
  (scripts/setup-chat-collection.mjs, vor dem Deploy ausfuehren)
- Datenschutzerklaerung Abschnitt 6 ergaenzt (Stand 26.09.2026), PDF neu

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

server/routes/portalAdmin.js

@@ -16,7 +16,16 @@ import {
 import { listAppointments, saveAppointment } from '../services/appointments.js'
 import { getCustomerActivity } from '../services/customerActivity.js'
 import { listInvoicesForClient } from '../services/invoiceNinja.js'
-import { sanitizeMessage } from './chat.js'
+import { prepareMessage, rawUpload, sanitizeMessage, uploadErrors } from './chat.js'
+import {
+  attachmentSummary,
+  deletePendingAttachment,
+  messageAttachments,
+  openAttachment,
+  sendAttachment,
+  storeChatUpload,
+  uploadRateLimited,
+} from '../services/chatAttachments.js'
 import { offersAdminRouter } from './offers.js'
 import { takeoverAdminRouter } from './takeoverCredits.js'
 
@@ -306,7 +315,7 @@ router.get('/chats', async (_req, res) => {
       const entry = byCustomer.get(msg.customerId) || {
         customerId: msg.customerId,
         customerName: nameById[msg.customerId] || msg.customerId,
-        lastText: msg.text || '',
+        lastText: msg.text || attachmentSummary(messageAttachments(msg)),
         lastSender: msg.sender || '',
         lastAt: msg.createdAt || '',
         unreadFromCustomer: 0,
@@ -355,17 +364,14 @@ router.get('/chats/:customerId/messages', async (req, res) => {
 })
 
 router.post('/chats/:customerId/messages', async (req, res) => {
-  const text = String(req.body?.text || '').trim()
-  if (!text || text.length > 2000) {
-    return res.status(400).json({ error: 'Nachricht muss zwischen 1 und 2000 Zeichen lang sein.' })
-  }
-
+  let prepared = null
   try {
     const customer = await getDocument(config.collections.customers, req.params.customerId).catch(() => null)
     if (!customer) {
       return res.status(404).json({ error: 'Kunde nicht gefunden' })
     }
 
+    prepared = await prepareMessage(req.body, { customerId: customer.$id, uploadedBy: 'admin' })
     const session = req.session
     const doc = await createDocument(
       config.collections.portalMessages,
@@ -373,16 +379,65 @@ router.post('/chats/:customerId/messages', async (req, res) => {
         customerId: customer.$id,
         sender: 'admin',
         senderName: session.adminName || session.name || 'Webklar-Team',
-        text,
+        ...prepared.fields,
         readByAdmin: true,
         readByCustomer: false,
         createdAt: new Date().toISOString(),
       },
       ID.unique()
     )
+    await prepared.claim.commit(doc.$id)
     return res.status(201).json({ message: sanitizeMessage(doc) })
   } catch (err) {
-    return res.status(500).json({ error: err.message || 'Nachricht konnte nicht gesendet werden' })
+    await prepared?.claim.release()
+    return res.status(err.status || 500).json({ error: err.message || 'Nachricht konnte nicht gesendet werden' })
+  }
+})
+
+// Anhaenge des Teams an einen Kunden (Ablage wie beim Kunden, siehe services/chatAttachments.js)
+router.post(
+  '/chats/:customerId/attachments',
+  async (req, res, next) => {
+    if (uploadRateLimited(`admin:${req.session.appwriteUserId}`)) {
+      return res.status(429).json({ error: 'Zu viele Anhänge in kurzer Zeit. Bitte später erneut versuchen.' })
+    }
+    const customer = await getDocument(config.collections.customers, req.params.customerId).catch(() => null)
+    if (!customer) return res.status(404).json({ error: 'Kunde nicht gefunden' })
+    return next()
+  },
+  rawUpload,
+  async (req, res) => {
+    try {
+      const attachment = await storeChatUpload({
+        customerId: req.params.customerId,
+        uploadedBy: 'admin',
+        buffer: req.body,
+        headers: req.headers,
+      })
+      return res.status(201).json({ attachment })
+    } catch (err) {
+      if ((err.status || 500) >= 500) console.error('[chat] Upload (Admin) fehlgeschlagen:', err.message)
+      return res.status(err.status || 500).json({ error: err.status ? err.message : 'Datei konnte nicht gespeichert werden' })
+    }
+  },
+  uploadErrors
+)
+
+router.get('/chats/:customerId/attachments/:id', async (req, res) => {
+  try {
+    const found = await openAttachment({ customerId: req.params.customerId, id: req.params.id, viewer: 'admin' })
+    return sendAttachment(req, res, found)
+  } catch (err) {
+    return res.status(err.status || 500).json({ error: err.status ? err.message : 'Datei nicht verfügbar' })
+  }
+})
+
+router.delete('/chats/:customerId/attachments/:id', async (req, res) => {
+  try {
+    await deletePendingAttachment({ customerId: req.params.customerId, id: req.params.id, uploadedBy: 'admin' })
+    return res.status(204).end()
+  } catch (err) {
+    return res.status(err.status || 500).json({ error: err.status ? err.message : 'Anhang konnte nicht entfernt werden' })
   }
 })