Zusatzspeicher: Vorschau im flexiblen Abrechnungsmodus, Aufgaben nach Zeitpunkt, keine stillen Abbrüche

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

server/services/mailStorage.js

@@ -25,12 +25,20 @@ import {
  *   bis zur bezahlten Menge proration_behavior none, darueber anteilig - notfalls in zwei Schritten
  *   (planStorageChange).
  * - Minus ("Speichern"): Stueckzahl sofort bei Stripe, ohne Erstattung (none). Die Postfachgrenze in
- *   konsoleH sinkt erst zum Ende des Abrechnungsmonats (Aufgabe fuers Team, dueAt = Periodenende).
- * - Jede Aenderung ist ein Ereignis `speicher` mit Status offen (= Aufgabe fuers Team in konsoleH); nur ein
- *   Plus traegt Zustimmungsdaten, ein Minus keine (Rechtsrunde 28.09.2026). Eine neue Aenderung ersetzt
- *   die aeltere offene Aufgabe desselben Abos (F21): eine Aufgabe je Abo mit Zielgroesse und Datum.
- * - Bezahlte Menge je Abrechnungsmonat (storagePaidUnits, storagePaidPeriodEnd): beim Plus gesetzt, sonst
- *   aus der regulaeren Speicher-Zeile jeder bezahlten Rechnung (recordPaidStorage, Webhook invoice.paid).
+ *   konsoleH sinkt erst zum Ende des Abrechnungsmonats.
+ * - Jede Aenderung ist ein Ereignis `speicher` (Nachweis; Status offen = Aufgabe fuers Team). Die Aufgabe
+ *   hat eine Art (details.kind): "einrichten" (Plus ueber die bezahlte Menge, sofort, Ziel = neue Menge)
+ *   oder "periodenende" (Minus oder Plus bis zur bezahlten Menge, faellig zum Periodenende, Ziel = neue
+ *   Menge). Eine neue Aufgabe ersetzt aeltere offene derselben Art; eine Einrichtung ersetzt ausserdem eine
+ *   geplante Verringerung mit kleinerem Ziel; eine Verringerung laesst eine offene Einrichtung stehen. So
+ *   gibt es hoechstens eine offene Aufgabe je Art und Abo. Nur ein Plus traegt Zustimmungsdaten
+ *   (Rechtsrunde 28.09.2026).
+ * - Reihenfolge: Ereignis zuerst (offen), dann Stripe. Lehnt Stripe ab, wird das Ereignis "gescheitert"
+ *   und der Kunde sieht den Fehler; nach einer wirksamen Stripe-Aenderung bricht nichts mehr ab
+ *   (Spiegel, Buchung, Aufgaben, Mails: Fehler im Log, T13 sagt es dem Team).
+ * - Bezahlte Menge je Abrechnungsmonat (storagePaidUnits, storagePaidPeriodEnd): beim Plus max(bezahlt,
+ *   neu), beim Minus max(bezahlt, bisher) - jede Position war fuer den Monat berechnet; sonst aus der
+ *   regulaeren Speicher-Zeile jeder bezahlten Rechnung (recordPaidStorage, Webhook invoice.paid).
  */
 
 function httpError(status, message) {
@@ -46,10 +54,16 @@ const fmtDate = (iso) =>
 // Preis wie in den Bedingungen: "2,00 €" (normales Leerzeichen)
 const fmtEuro = (cents) => `${(Number(cents || 0) / 100).toFixed(2).replace('.', ',')} €`
 const toIso = (unixSeconds) => (unixSeconds ? new Date(unixSeconds * 1000).toISOString() : null)
+const sameInstant = (a, b) => a === b || new Date(a).getTime() === new Date(b).getTime()
+// Appwrite-Fehler: 4xx dauerhaft (Attribut/Collection fehlt, ungueltige Daten), 5xx/Netz voruebergehend (wie Task 7)
+const isPermanent = (err) => Boolean(err?.status) && err.status < 500
+const shortError = (err) => String(err?.message || err).slice(0, 200)
 
 const unitsOf = (doc) => Number(doc?.storageUnits) || 0
 const totalGbOf = (units) => config.mailStorage.includedGb + units * config.mailStorage.gbPerUnit
 const monthlyCentsOf = (units) => units * config.mailStorage.amountCents
+// Seit API 2025-03 liegt current_period_end am Subscription-Item
+const periodEndOf = (stripeSub) => stripeSub?.current_period_end || stripeSub?.items?.data?.[0]?.current_period_end || null
 
 /**
  * Stripe-Schritte fuer eine Aenderung auf newUnits Pakete: { direction: 'plus' | 'minus' | 'none', steps:
@@ -80,17 +94,26 @@ export function planStorageChange({ currentUnits, paidUnits, newUnits, maxUnits
 
 /**
  * Fuer den laufenden Abrechnungsmonat schon bezahlte Pakete: storagePaidUnits, wenn storagePaidPeriodEnd
- * der laufende Zeitraum ist (Appwrite gibt Datumswerte mit +00:00 zurueck, der Spiegel schreibt Z: gleicher
- * Zeitpunkt zaehlt), sonst die aktuelle Menge (die regulaere Rechnung des Monats hat sie berechnet).
+ * der laufende Zeitraum ist (periodEnd, sonst doc.currentPeriodEnd; Appwrite gibt Datumswerte mit +00:00
+ * zurueck, der Spiegel schreibt Z: gleicher Zeitpunkt zaehlt), sonst die aktuelle Menge (die regulaere
+ * Rechnung des Monats hat sie berechnet).
  */
-export function paidUnitsOf(doc) {
+export function paidUnitsOf(doc, periodEnd = doc?.currentPeriodEnd) {
   const paidEnd = doc?.storagePaidPeriodEnd
-  const periodEnd = doc?.currentPeriodEnd
-  const samePeriod =
-    Boolean(paidEnd && periodEnd) && (paidEnd === periodEnd || new Date(paidEnd).getTime() === new Date(periodEnd).getTime())
+  const samePeriod = Boolean(paidEnd && periodEnd) && sameInstant(paidEnd, periodEnd)
   return samePeriod ? Number(doc.storagePaidUnits) || 0 : unitsOf(doc)
 }
 
+/**
+ * Art der Aufgabe eines Ereignisses `speicher`: details.kind ("einrichten" | "periodenende"); aeltere
+ * Ereignisse ohne kind (vor Fix 1) nach der Richtung (Plus = einrichten, sonst periodenende).
+ */
+export function storageTaskKind(event) {
+  const details = event?.details || {}
+  if (details.kind === 'einrichten' || details.kind === 'periodenende') return details.kind
+  return Number(details.toUnits) > Number(details.fromUnits) ? 'einrichten' : 'periodenende'
+}
+
 async function requireSubscription(customerId) {
   const doc = await getCurrentSubscription(customerId)
   if (!doc) throw httpError(404, 'Kein Abo vorhanden.')
@@ -111,11 +134,14 @@ function reductionEffectiveAt(doc) {
   return periodEnd || cancelAt
 }
 
+// Toleranz zwischen dem eigenen proration_date und Stripes Zeilen (Sekundenrundung)
+const PRORATION_TOLERANCE_SECONDS = 2
+
 /**
  * Anteiliger Betrag der Speicher-Zeilen einer Stripe-Vorschau (naechste Rechnung): Belastung fuer die neue
- * Menge abzueglich Gutschrift fuer die alte, jeweils ab prorationDate. Aeltere anteilige Zeilen (eine
- * fruehere Aenderung im selben Monat, schon als Rechnungsposition vorgemerkt) und die regulaeren Zeilen des
- * naechsten Monats zaehlen nicht.
+ * Menge abzueglich Gutschrift fuer die alte, genau ab prorationDate (period.start, ±2 s). Aeltere anteilige
+ * Zeilen (eine fruehere Aenderung im selben Monat, schon als Rechnungsposition vorgemerkt) und die
+ * regulaeren Zeilen des naechsten Monats zaehlen nicht.
  */
 function storageProrationCents(preview, priceIds, prorationDate) {
   return (preview?.lines?.data || [])
@@ -124,8 +150,7 @@ function storageProrationCents(preview, priceIds, prorationDate) {
       const details = parent.subscription_item_details || parent.invoice_item_details || {}
       if (details.proration !== true) return false
       if (!priceIds.has(line.pricing?.price_details?.price)) return false
-      // Toleranz fuer Sekunden zwischen Vorschau und Stripe-Rundung
-      return !line.period?.start || line.period.start >= prorationDate - 300
+      return Math.abs(Number(line.period?.start) - prorationDate) <= PRORATION_TOLERANCE_SECONDS
     })
     .reduce((sum, line) => sum + (Number(line.amount) || 0), 0)
 }
@@ -134,6 +159,12 @@ function storageProrationCents(preview, priceIds, prorationDate) {
  * Vorschau fuer newUnits Pakete: Richtung, Gesamtgroesse, Monatspreis des Speichers, Mehr-/Minderpreis je
  * Monat, anteiliger Betrag fuer den Rest des laufenden Monats (aus invoices.createPreview), naechste Abbuchung
  * und Wirksamkeit (Minus: Periodenende, sonst jetzt). Bis zur schon bezahlten Menge kostet ein Plus nichts.
+ *
+ * Abrechnungsmodus (Fix 1): Abos aus dem Checkout laufen im flexiblen Modus (billing_mode.type 'flexible',
+ * Stripes Standard) - dort schreibt Stripe den zuletzt berechneten Betrag gut, die Vorschau hat die im
+ * Monat schon bezahlten Pakete also selbst verrechnet und gilt unveraendert. Nur im klassischen Modus
+ * ('classic') rechnet Stripe von der heutigen Menge aus; dann zaehlen nur die Pakete ueber der bezahlten
+ * Menge (F19: p × (neu − max(aktuell, bezahlt)) / (neu − aktuell)).
  */
 export async function previewStorageChange(customerId, newUnits) {
   const doc = await requireSubscription(customerId)
@@ -159,9 +190,10 @@ export async function previewStorageChange(customerId, newUnits) {
     // Gutschrift-Zeilen tragen den Preis des vorhandenen Postens (kann ein aelterer Speicher-Preis sein)
     const priceIds = new Set([priceId, items.find((item) => item.id === storageItemId)?.price?.id].filter(Boolean))
     const previewed = storageProrationCents(preview, priceIds, prorationDate)
-    // F19: Stripe rechnet die Vorschau von der heutigen Menge (currentUnits) aus; berechnet werden nur die
-    // Pakete ueber der schon bezahlten Menge, der erste Schritt bis dahin laeuft ohne Verrechnung
-    prorationCents = Math.round((previewed * (newUnits - Math.max(currentUnits, paidUnits))) / (newUnits - currentUnits))
+    const classic = stripeSub.billing_mode?.type === 'classic'
+    prorationCents = classic
+      ? Math.round((previewed * (newUnits - Math.max(currentUnits, paidUnits))) / (newUnits - currentUnits))
+      : previewed
   }
   return {
     direction: plan.direction,
@@ -175,6 +207,13 @@ export async function previewStorageChange(customerId, newUnits) {
   }
 }
 
+function assertPlanAllowed(plan, consent) {
+  if (plan.direction === 'none') throw httpError(400, 'Die Anzahl der Pakete ist unverändert.')
+  if (plan.direction === 'plus' && !(consent?.termsVersion && consent?.consentAt)) {
+    throw httpError(400, 'Bitte stimmen Sie den Regeln zum Zusatzspeicher zu.')
+  }
+}
+
 /**
  * Darf der Kunde die Menge aendern? Im Portal nur bei Status active, ohne Kuendigung und ohne Wechsel, der
  * auf die Zahlung wartet (wie canChangeStorage in GET /api/abo, F12). Ueber das Kuendigungsformular
@@ -200,22 +239,19 @@ function assertChangeAllowed(doc, events, direction, viaCancellation) {
 }
 
 /**
- * Ereignis `speicher` (Nachweis der Bestellung bzw. Aufgabe fuers Team). Aeltere offene Aufgaben desselben
- * Abos sind damit ueberholt (F21: erledigt, doneBy 'ersetzt'). Ein Fehler beim Speichern bricht die schon
- * bei Stripe wirksame Aenderung nicht ab: er wird protokolliert, T13 traegt die Aufgabe trotzdem zum Team.
+ * Ereignis `speicher` (Nachweis der Bestellung bzw. Aufgabe fuers Team), Status offen - vor dem Stripe-Aufruf.
+ * Laesst es sich nicht speichern, laeuft die Aenderung trotzdem: Fehler im Log, T13 traegt die Aufgabe mit
+ * dem Block nachweis_fehlt zum Team.
  */
-async function recordStorageEvent({ doc, events, change, consent, dueAt, viaCancellation }) {
+async function recordStorageEvent({ doc, change, consent, viaCancellation }) {
   try {
-    const now = new Date().toISOString()
-    for (const e of events.filter((e) => e.type === 'speicher' && e.status === 'offen')) {
-      await updateContractEvent(e.$id, { status: 'erledigt', doneAt: now, doneBy: 'ersetzt' })
-    }
     return await recordContractEvent({
       customerId: doc.customerId,
       subscriptionId: doc.$id,
       type: 'speicher',
       productKey: doc.productKey || 'wartung',
       details: {
+        kind: change.kind,
         fromUnits: change.fromUnits,
         toUnits: change.toUnits,
         effectiveAt: change.effectiveAt,
@@ -235,7 +271,7 @@ async function recordStorageEvent({ doc, events, change, consent, dueAt, viaCanc
             }
           : null,
       status: 'offen',
-      dueAt,
+      dueAt: change.dueAt,
     })
   } catch (err) {
     console.error(`[speicher] Ereignis für Abo ${doc.$id} nicht gespeichert:`, err.message)
@@ -243,6 +279,23 @@ async function recordStorageEvent({ doc, events, change, consent, dueAt, viaCanc
   }
 }
 
+/**
+ * Aeltere offene Aufgaben desselben Abos, die die neue Aufgabe ueberholt (F21, Fix 1): eine Einrichtung
+ * ersetzt offene Einrichtungen und geplante Verringerungen mit hoechstens gleichem Ziel; eine Aufgabe zum
+ * Periodenende ersetzt nur offene Aufgaben zum Periodenende, nie eine noch nicht erledigte Einrichtung.
+ * events sind die Ereignisse vor der neuen Aufgabe.
+ */
+async function supersedeStorageTasks(events, change) {
+  const now = new Date().toISOString()
+  const superseded = events.filter((e) => {
+    if (e.type !== 'speicher' || e.status !== 'offen') return false
+    const kind = storageTaskKind(e)
+    if (change.kind === 'einrichten') return kind === 'einrichten' || (Number(e.details?.toUnits) || 0) <= change.toUnits
+    return kind === 'periodenende'
+  })
+  for (const e of superseded) await updateContractEvent(e.$id, { status: 'erledigt', doneAt: now, doneBy: 'ersetzt' })
+}
+
 /** Vertragsunterlagen (PDF) in der zugestimmten Fassung als Mail-Anhang; ohne Datei geht die Mail ohne Anhang raus. */
 async function contractPdfAttachment(termsVersion) {
   const { filename, path } = contractAttachmentFor(termsVersion)
@@ -254,14 +307,15 @@ async function contractPdfAttachment(termsVersion) {
 }
 
 /**
- * K13 an den Kunden (Plus: mit PDF der zugestimmten Fassung, F22) und T13 ans Team. Ueber das
- * Kuendigungsformular bestaetigt K03, K13 entfaellt dort (F31). Ein Mailfehler bricht die Aenderung nie ab.
+ * K13 an den Kunden (Plus: mit PDF der zugestimmten Fassung, F22) und T13 ans Team (Aufgabe nach Art, dazu
+ * die Bloecke teilweise und nachweis_fehlt). Ueber das Kuendigungsformular bestaetigt K03, K13 entfaellt dort
+ * (F31). Ein Mailfehler bricht die Aenderung nie ab.
  */
-async function sendStorageMails({ doc, change, dueAt, consent, viaCancellation, proofMissing }) {
+async function sendStorageMails({ doc, change, consent, viaCancellation, proofMissing }) {
   const plus = change.direction === 'plus'
   const customer = await getDocument(config.collections.customers, doc.customerId).catch(() => null)
   const email = customer?.email || doc.email || ''
-  const wirksamAb = fmtDate(change.effectiveAt)
+  const dueLabel = fmtDate(change.dueAt)
   if (!viaCancellation && email) {
     const attachments = plus ? await contractPdfAttachment(consent.termsVersion) : []
     await sendCustomerMail(email, {
@@ -271,7 +325,7 @@ async function sendStorageMails({ doc, change, dueAt, consent, viaCancellation,
         pakete: change.toUnits,
         gesamt_gb: change.totalGb,
         monatspreis_zusatz: fmtEuro(change.monthlyCents),
-        wirksam_ab: wirksamAb,
+        wirksam_ab: fmtDate(change.effectiveAt),
       },
       blocks: { plus, minus: !plus },
       attachments,
@@ -280,89 +334,169 @@ async function sendStorageMails({ doc, change, dueAt, consent, viaCancellation,
   await sendAdminNotice({
     template: 'T13',
     values: {
-      aktion: plus ? 'einrichten' : `reduzieren zum ${wirksamAb}`,
+      aktion: change.kind === 'einrichten' ? 'einrichten' : `reduzieren zum ${dueLabel}`,
       email,
+      name: customer?.name || '',
+      stripe_abo_id: doc.$id,
       postfaecher_hinweis:
         (doc.productKey || 'wartung') === 'hosting' ? 'Hosting-Abo: 1 Postfach' : 'Wartungs-Abo: alle Postfächer des Kunden zusammen',
       neue_groesse_gb: change.totalGb,
-      faellig: fmtDate(dueAt),
+      pakete: change.toUnits,
+      faellig: dueLabel,
+    },
+    blocks: {
+      einrichten: change.kind === 'einrichten',
+      periodenende: change.kind === 'periodenende',
+      teilweise: change.partial,
+      nachweis_fehlt: proofMissing,
     },
-    blocks: proofMissing ? { nachweis_fehlt: true } : {},
   })
 }
 
+// Abos mit laufender Aenderung (Doppelklick, zwei Tabs): die zweite gleichzeitige Aenderung bekommt 409
+const activeChanges = new Set()
+
 /**
- * Menge auf newUnits Pakete aendern: Stripe-Schritte nacheinander (die erste Position mit { price, quantity },
- * danach { id, quantity }; bei 0 bleibt die Position mit Menge 0 bestehen), Spiegel und bezahlte Menge
- * (Plus: max(paidUnits, newUnits) fuer den laufenden Monat), Ereignis `speicher` (offen; dueAt jetzt bzw.
- * Periodenende), K13 und T13. consent { termsVersion, consentAt, consentIp, consentUserAgent } ist beim Plus
- * Pflicht (400), beim Minus null. options.viaCancellation: Kuendigungsformular (nur Verringerung, F20).
- * Liefert { subscription, event, change }.
+ * Menge auf newUnits Pakete aendern. consent { termsVersion, consentAt, consentIp, consentUserAgent } ist beim
+ * Plus Pflicht (400), beim Minus null. options.viaCancellation: Kuendigungsformular (nur Verringerung, F20).
+ * Ablauf: Vorpruefung mit dem Spiegel (400/404/409, ohne Stripe-Aufruf), Sperre je Abo, frischer Stand aus
+ * Stripe, Ereignis `speicher` (offen), Stripe-Schritte nacheinander (die erste Position mit { price, quantity },
+ * danach { id, quantity }; bei 0 bleibt die Position mit Menge 0), Spiegel und bezahlte Menge, ueberholte
+ * Aufgaben, K13 und T13. Liefert { subscription, event, change }; change = { direction, kind, fromUnits,
+ * toUnits, effectiveAt, dueAt, totalGb, monthlyCents, deltaMonthlyCents, partial }.
  */
 export async function changeStorage(customerId, newUnits, consent, options = {}) {
   const viaCancellation = options.viaCancellation === true
   const doc = await requireSubscription(customerId)
-  const currentUnits = unitsOf(doc)
-  const paidUnits = paidUnitsOf(doc)
+  // Vorpruefung mit dem Spiegel: Grenzen, Richtung, Zustimmung, Status - ohne Stripe-Aufruf
+  const plan = planStorageChange({ currentUnits: unitsOf(doc), paidUnits: paidUnitsOf(doc), newUnits, maxUnits: config.mailStorage.maxUnits })
+  assertPlanAllowed(plan, consent)
+  const events = (await listContractEvents(customerId)).filter((e) => e.subscriptionId === doc.$id)
+  assertChangeAllowed(doc, events, plan.direction, viaCancellation)
+  // Sperre pruefen und setzen ohne await dazwischen
+  if (activeChanges.has(doc.$id)) throw httpError(409, 'Eine Änderung läuft bereits. Bitte warten Sie einen Moment und laden Sie die Seite neu.')
+  activeChanges.add(doc.$id)
+  try {
+    return await performChange({ doc, events, newUnits, consent, viaCancellation })
+  } finally {
+    activeChanges.delete(doc.$id)
+  }
+}
+
+async function performChange({ doc, events, newUnits, consent, viaCancellation }) {
+  const stripe = getStripe()
+  const [priceId, stripeSub] = await Promise.all([ensurePrice('mailStorage'), stripe.subscriptions.retrieve(doc.$id)])
+  const items = stripeSub.items?.data || []
+  let { storageItemId } = describeItems(items)
+  // Frischer Stand aus Stripe (Menge, Periodenende): der Spiegel kann nach einem Webhook-Rueckstand hinterherhinken
+  const fresh = { ...doc, storageUnits: describeItems(items).storageUnits, currentPeriodEnd: toIso(periodEndOf(stripeSub)) || doc.currentPeriodEnd || null }
+  const currentUnits = unitsOf(fresh)
+  const paidUnits = paidUnitsOf(fresh)
   const plan = planStorageChange({ currentUnits, paidUnits, newUnits, maxUnits: config.mailStorage.maxUnits })
   if (plan.direction === 'none') throw httpError(400, 'Die Anzahl der Pakete ist unverändert.')
   const plus = plan.direction === 'plus'
-  if (plus && !(consent?.termsVersion && consent?.consentAt)) {
-    throw httpError(400, 'Bitte stimmen Sie den Regeln zum Zusatzspeicher zu.')
-  }
-  const events = (await listContractEvents(customerId)).filter((e) => e.subscriptionId === doc.$id)
-  assertChangeAllowed(doc, events, plan.direction, viaCancellation)
-
-  // Stripe: Speicher-Posten anlegen oder Menge aendern, Schritt fuer Schritt (planStorageChange)
-  const stripe = getStripe()
-  const [priceId, stripeSub] = await Promise.all([ensurePrice('mailStorage'), stripe.subscriptions.retrieve(doc.$id)])
-  let { storageItemId } = describeItems(stripeSub.items?.data)
-  const prorationDate = Math.floor(Date.now() / 1000)
-  for (const step of plan.steps) {
-    const updated = await stripe.subscriptions.update(doc.$id, {
-      items: [storageItemParam(storageItemId, priceId, step.quantity)],
-      proration_behavior: step.proration_behavior,
-      ...(step.proration_behavior === 'create_prorations' ? { proration_date: prorationDate } : {}),
-    })
-    storageItemId = describeItems(updated.items?.data).storageItemId || storageItemId
-  }
-
-  // Spiegel (storageUnits aus den Positionen) und bezahlte Menge des laufenden Monats. Die Aenderung ist
-  // bei Stripe schon wirksam: scheitert die Buchung der bezahlten Menge (z. B. Attribut fehlt, Setup-Skript
-  // nicht gelaufen), laufen Ereignis und Mails trotzdem; ein Plus nach einem Minus im selben Monat wuerde
-  // dann anteilig berechnet statt frei bleiben - Fehler im Log.
-  let subscription = (await syncSubscription(doc.$id)) || doc
-  if (plus) {
-    const paid = { storagePaidUnits: Math.max(paidUnits, newUnits), storagePaidPeriodEnd: subscription.currentPeriodEnd || doc.currentPeriodEnd || null }
-    subscription = await updateDocument(config.collections.subscriptions, doc.$id, paid).catch((err) => {
-      console.error(`[speicher] Bezahlte Menge für Abo ${doc.$id} nicht gespeichert (${err.status || '?'}):`, err.message)
-      return subscription
-    })
-  }
-
   const now = new Date().toISOString()
-  const effectiveAt = plus ? now : reductionEffectiveAt(subscription)
+  const kind = plus && newUnits > paidUnits ? 'einrichten' : 'periodenende'
+  const reductionAt = reductionEffectiveAt(fresh)
   const change = {
     direction: plan.direction,
+    kind,
     fromUnits: currentUnits,
     toUnits: newUnits,
-    effectiveAt,
+    // Fuer den Kunden: ein Plus gilt sofort, ein Minus zum Periodenende; fuers Team: die Einrichtung ist
+    // sofort faellig, alles andere zum Periodenende
+    effectiveAt: plus ? now : reductionAt,
+    dueAt: kind === 'einrichten' ? now : reductionAt,
     totalGb: totalGbOf(newUnits),
     monthlyCents: monthlyCentsOf(newUnits),
     deltaMonthlyCents: monthlyCentsOf(newUnits) - monthlyCentsOf(currentUnits),
+    partial: false,
   }
-  // Aufgabe fuers Team: Plus sofort einrichten, Minus zum Periodenende reduzieren
-  const dueAt = plus ? now : effectiveAt
-  const event = await recordStorageEvent({ doc, events, change, consent, dueAt, viaCancellation })
-  await sendStorageMails({ doc: subscription, change, dueAt, consent, viaCancellation, proofMissing: !event })
+
+  // 1. Ereignis zuerst: Nachweis und Aufgabe, Status offen
+  const event = await recordStorageEvent({ doc: fresh, change, consent, viaCancellation })
+
+  // 2. Stripe, Schritt fuer Schritt (planStorageChange)
+  const prorationDate = Math.floor(Date.now() / 1000)
+  let achievedUnits = currentUnits
+  for (const [index, step] of plan.steps.entries()) {
+    try {
+      const updated = await stripe.subscriptions.update(doc.$id, {
+        items: [storageItemParam(storageItemId, priceId, step.quantity)],
+        proration_behavior: step.proration_behavior,
+        ...(step.proration_behavior === 'create_prorations' ? { proration_date: prorationDate } : {}),
+      })
+      storageItemId = describeItems(updated.items?.data).storageItemId || storageItemId
+      achievedUnits = step.quantity
+    } catch (err) {
+      if (index === 0) {
+        // Nichts geaendert: Ereignis gescheitert, Fehler an den Kunden, keine Buchung, keine Mails
+        console.error(`[speicher] Abo ${doc.$id}: Stripe lehnt die Änderung ab:`, err.message)
+        if (event) {
+          await updateContractEvent(event.$id, { status: 'gescheitert', details: { error: shortError(err) } }).catch((e) =>
+            console.error(`[speicher] Ereignis ${event.$id} nicht auf gescheitert gesetzt:`, e.message)
+          )
+        }
+        const failure = httpError(502, 'Die Änderung konnte bei Stripe nicht gespeichert werden. Es wurde nichts berechnet. Bitte versuchen Sie es später erneut.')
+        failure.cause = err
+        throw failure
+      }
+      // Schritt 2 nach Schritt 1: Stripe steht auf der bezahlten Menge, die Bestellung bleibt offen - das Team
+      // setzt die Menge in Stripe von Hand (T13, Block teilweise)
+      console.error(`[speicher] Abo ${doc.$id}: Schritt ${index + 1} bei Stripe fehlgeschlagen, Menge bleibt ${achievedUnits}:`, err.message)
+      change.partial = true
+      if (event) {
+        await updateContractEvent(event.$id, { details: { partial: true, error: shortError(err) } }).catch((e) =>
+          console.error(`[speicher] Ereignis ${event.$id} nicht als teilweise markiert:`, e.message)
+        )
+      }
+      break
+    }
+  }
+
+  // 3. Spiegel (storageUnits aus den Positionen); scheitert er, holt der Stripe-Webhook das nach
+  let subscription
+  try {
+    subscription = (await syncSubscription(doc.$id)) || { ...fresh, storageUnits: achievedUnits }
+  } catch (err) {
+    console.error(`[speicher] Spiegel für Abo ${doc.$id} nicht aktualisiert (Webhook holt das nach):`, err.message)
+    subscription = { ...fresh, storageUnits: achievedUnits }
+  }
+
+  // 4. Bezahlte Menge des laufenden Monats: Plus max(bezahlt, erreicht), Minus max(bezahlt, bisher) - jede
+  // Position war fuer den Monat berechnet. Scheitert die Buchung (z. B. Attribut fehlt), laeuft der Rest weiter;
+  // ein Plus nach einem Minus im selben Monat wuerde dann anteilig berechnet statt frei bleiben.
+  const paid = {
+    storagePaidUnits: Math.max(paidUnits, plus ? achievedUnits : currentUnits),
+    storagePaidPeriodEnd: fresh.currentPeriodEnd,
+  }
+  try {
+    await updateDocument(config.collections.subscriptions, doc.$id, paid)
+    subscription = { ...subscription, ...paid }
+  } catch (err) {
+    console.error(`[speicher] Bezahlte Menge für Abo ${doc.$id} nicht gespeichert (${err.status || '?'}):`, err.message)
+  }
+
+  // 5. Ueberholte Aufgaben schliessen, erst nachdem die neue existiert
+  if (event) {
+    await supersedeStorageTasks(events, change).catch((err) =>
+      console.error(`[speicher] Ersetzte Aufgaben für Abo ${doc.$id} nicht geschlossen:`, err.message)
+    )
+  }
+
+  // 6. Mails
+  await sendStorageMails({ doc: subscription, change, consent, viaCancellation, proofMissing: !event })
   return { subscription, event, change }
 }
 
 /**
  * Bezahlte Rechnung (Webhook invoice.paid, frisch geladen mit loadInvoice): hat sie eine regulaere
  * Zusatzspeicher-Zeile (nicht anteilig), ist deren Stueckzahl fuer den Zeitraum bis line.period.end bezahlt
- * (storagePaidUnits, storagePaidPeriodEnd). Idempotent; fehlt der Spiegel noch (Webhook-Reihenfolge),
- * wird er aus Stripe angelegt.
+ * (storagePaidUnits, storagePaidPeriodEnd). Im selben Monat gilt die groessere Menge (eine verspaetete
+ * Rechnung senkt eine Buchung nach einem Plus nicht), das Periodenende geht nie zurueck (wiederholte aeltere
+ * Rechnung). Fehlt der Spiegel noch (Webhook-Reihenfolge), wird er aus Stripe angelegt. Dauerhafte
+ * Appwrite-Fehler (4xx) werden protokolliert und uebersprungen, voruebergehende (5xx, Netz) geworfen, damit
+ * Stripe den Webhook wiederholt.
  */
 export async function recordPaidStorage(invoice) {
   const lines = await invoiceLines(invoice)
@@ -372,13 +506,36 @@ export async function recordPaidStorage(invoice) {
   const ref = line.parent?.subscription_item_details?.subscription || subscriptionIdOfInvoice(loaded)
   const subscriptionId = typeof ref === 'string' ? ref : ref?.id
   if (!subscriptionId) return { skipped: 'keine Abo-Rechnung' }
-  const data = { storagePaidUnits: Number(line.quantity) || 0, storagePaidPeriodEnd: toIso(line.period?.end) }
+  const periodEnd = toIso(line.period?.end)
+  if (!periodEnd) return { skipped: 'Speicher-Zeile ohne Zeitraum' }
+  const units = Number(line.quantity) || 0
+  const tag = `[speicher] Bezahlte Menge für Abo ${subscriptionId} (Rechnung ${loaded.id || '?'})`
+
+  let existing
+  try {
+    existing = await getDocument(config.collections.subscriptions, subscriptionId)
+  } catch (err) {
+    if (err.status !== 404) {
+      if (!isPermanent(err)) throw err
+      console.error(`${tag} nicht lesbar (${err.status}):`, err.message)
+      return { skipped: `Appwrite ${err.status}` }
+    }
+    existing = await syncSubscription(subscriptionId)
+    if (!existing) return { skipped: 'Abo ohne Kundenzuordnung' }
+  }
+  const knownEnd = existing.storagePaidPeriodEnd || null
+  if (knownEnd && new Date(periodEnd) < new Date(knownEnd)) return { skipped: 'ältere Rechnung' }
+  const samePeriod = Boolean(knownEnd) && sameInstant(knownEnd, periodEnd)
+  const data = {
+    storagePaidUnits: samePeriod ? Math.max(Number(existing.storagePaidUnits) || 0, units) : units,
+    storagePaidPeriodEnd: periodEnd,
+  }
   try {
     await updateDocument(config.collections.subscriptions, subscriptionId, data)
   } catch (err) {
-    if (err.status !== 404) throw err
-    if (!(await syncSubscription(subscriptionId))) return { skipped: 'Abo ohne Kundenzuordnung' }
-    await updateDocument(config.collections.subscriptions, subscriptionId, data)
+    if (!isPermanent(err)) throw err
+    console.error(`${tag} nicht gespeichert (${err.status}):`, err.message)
+    return { skipped: `Appwrite ${err.status}` }
   }
-  return { recorded: true, subscriptionId, units: data.storagePaidUnits, periodEnd: data.storagePaidPeriodEnd }
+  return { recorded: true, subscriptionId, units: data.storagePaidUnits, periodEnd }
 }