Pentest 70.1 (INFO): GIF/WebP-Whitelist in contract.routes Multer-Filter

contract.routes Vertragsdokumente: Multer-fileFilter blockte
image/gif + image/webp, obwohl validateUploadedFile sie zulässt.
Folge: GIF mit korrektem MIME 415, mit gespooftem MIME 201. Kein
Sicherheitsproblem (Magic-Byte ist der echte Guard), nur Konsistenz.

docs/todo.md

@@ -97,6 +97,16 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
 
 ## ✅ Erledigt
 
+- [x] **🔒 Pentest 70.1 (INFO): GIF/WebP-Inkonsistenz in contract.routes Multer-Filter**
+  - `contract.routes.ts` Vertragsdokumente: Multer-fileFilter blockte
+    `image/gif` und `image/webp`, obwohl `validateUploadedFile` beide
+    Typen zulässt. Folge: GIF mit korrektem MIME `image/gif` → 415, GIF
+    mit gespooftem MIME `image/jpeg` → akzeptiert (vom Magic-Byte als
+    `.gif` erkannt). Kein Sicherheitsproblem (Magic-Byte ist der echte
+    Guard), aber inkonsistent.
+  - Fix: Whitelist um `image/gif` + `image/webp` ergänzt → konsistent
+    zum zentralen `validateUploadedFile` und zu `upload.routes.ts`.
+
 - [x] **🔒 Pentest 69.3 (INFO → Defense-in-Depth): Magic-Byte-Check auf Vertragsdokumente erweitert**
   - `contract.routes.ts` Vertragsdokumente-Upload hatte bisher nur den
     PDF-Inhalts-Scan (`scanUploadedPdfIfPresent` aus 68.1). JPG/PNG-