feat(stressfrei): Weiterleitungen manuell synchronisieren

Nach Änderung der Kunden-Stamm-E-Mail (oder der defaultForwardEmail in
den Provider-Settings) müssen die Plesk-Forwards der Stressfrei-Adressen
des Kunden auf den neuen Wert umgestellt werden. Bisher ging das nur
manuell pro Adresse im Plesk-UI – jetzt mit einem Klick pro Adresse im
CRM.

Backend:
- emailProviderService.setEmailForwardTargets(localPart, targets[]):
  dünner Wrapper um die schon vorhandene IEmailProvider-Methode
  updateForwardTargets (`set:email1,email2` ersetzt komplett, idempotent)
- stressfreiEmail.service.syncForwardingForEmail(id): lädt Kunde +
  Provider-Config, baut [customer.email, defaultForwardEmail] und ruft
  den Provider auf
- POST /api/stressfrei-emails/:id/sync-forwarding, customers:update,
  Audit-Log mit den neuen Forward-Targets im Label

Frontend:
- Refresh-Icon-Button in der Action-Reihe jeder Stressfrei-Adresse,
  sichtbar nur wenn isProvisioned (sonst sinnlos). Confirm-Dialog
  zeigt die Ziele, Tooltip erklärt den Vorgang.
- ExternalLink-Icon neben der E-Mail in der Kundenakte (Stammdaten →
  Kontakt) öffnet den Stressfrei-Tab des Kunden in neuem Tab.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

docs/todo.md

@@ -97,6 +97,20 @@ isolierte Instanz (keine Multi-Tenancy im Code), Provisioning + Abrechnung
 
 ## ✅ Erledigt
 
+- [x] **🔁 Stressfrei-Adressen: Weiterleitungen manuell synchronisieren**
+  - Refresh-Icon-Button in der Action-Reihe jeder provisionierten
+    Stressfrei-Adresse (Tooltip erklärt: „ersetzt die Forwards am Provider
+    durch Kunden-Stamm-E-Mail + Service-Adresse"). Use-Case: nach
+    Änderung der Stamm-E-Mail eines Kunden, oder nach Wechsel der
+    `defaultForwardEmail` in den Provider-Settings.
+  - Backend nutzt das bestehende Plesk `updateForwardTargets`
+    (`set:email1,email2` → ersetzt komplett, idempotent).
+  - Endpoint: `POST /api/stressfrei-emails/:id/sync-forwarding`,
+    `customers:update`-Permission, Audit-Log mit Forward-Targets.
+  - In der Kundenakte (Stammdaten → Kontakt → E-Mail) externes
+    Link-Icon, das in neuem Tab direkt den Stressfrei-Tab des Kunden
+    öffnet – sichtbar nur wenn Stressfrei-Adressen vorhanden sind.
+
 - [x] **🛡️ Pentest-Hardening-Runde 11: Header-Hygiene**
   - **HSTS-Doppel-Header** (18× low im Audit): Helmet's
     `Strict-Transport-Security` komplett deaktiviert. Der Nginx Proxy Manager