Vertragssuche: Karteninhaber (cardUser) durchsuchbar (Pentest R150)

getAllContracts durchsucht jetzt auch simCards.cardUser - zusaetzlich zu
Rufnummer/SIM-Nummer/IMEI. R150-Randnotiz, fachlich gewuenscht (Staff sucht
nach Karteninhaber). Portal-Suche bleibt durch das bestehende customerIds-
Scoping begrenzt.

Verifiziert: Suche nach gesetztem cardUser findet den Vertrag, Kontroll-
Suche 0 Treffer.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/src/services/contract.service.ts

@@ -67,6 +67,7 @@ export async function getAllContracts(filters: ContractFilters) {
       { mobileDetails: { deviceImei: { contains: search } } },
       { mobileDetails: { simCards: { some: { phoneNumber: { contains: search } } } } },
       { mobileDetails: { simCards: { some: { simCardNumber: { contains: search } } } } },
+      { mobileDetails: { simCards: { some: { cardUser: { contains: search } } } } },
       // Energie-Vertragsdetails (Zählernummer)
       { energyDetails: { meter: { meterNumber: { contains: search } } } },
       // TV-Vertragsdetails

docs/todo.md

@@ -112,6 +112,9 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
     Staff-**Tabelle** in `/contracts` (flache `getAll`-Liste) UND der
     Portal-Baum in `/contracts`. Der erste Anlauf hatte nur die Baum-Pfade –
     die Staff-Tabelle (Haupt-Ansicht für Mitarbeiter) fehlte und wurde nachgezogen.
+  - **Vertragssuche** (`?search=`) durchsucht jetzt auch den **Karteninhaber**
+    (`simCards.cardUser`) – zusätzlich zu Rufnummer/SIM-Nummer/IMEI (Pentest-R150-
+    Randnotiz, fachlich gewünscht). Portal-Suche bleibt durch Scoping begrenzt.
 
 - [x] **🛡️ Globaler API-Rate-Limit-Backstop + BLZ-Guard-Härtung (Pentest R148)** (2026-08-12)
   - **Backstop:** Neuer genereller Limiter auf ALLE `/api`-Requests