Pentest R104.1: Salutation-Endpunkte 404 statt 500

INFO-Finding: GET/PUT /api/customers/:id/salutation-preference
warfen bei nicht-existierendem Customer 500 statt 404.

canAccessCustomer prüft für Staff-User nur den Portal-Flag, kein
Existenz-Check. Der Service warf `new Error('Kunde nicht
gefunden')`, was der Controller-Catch generisch auf 500 mappte.
set/clear kamen als Prisma-P2003 (FK-Constraint) durch.

Fix:
- Neuer Helper assertCustomerExists() im customer.service, wirft
  ApiError(404, ...). Wird von get/set/clearSalutationPreference
  aufgerufen.
- Die drei Controller-Catches respektieren jetzt
  ApiError.statusCode → 404 kommt sauber durch, alle anderen
  Fehler bleiben bei 500.

Doku: docs/todo.md.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

backend/src/controllers/customer.controller.ts

@@ -22,6 +22,7 @@ import {
   canAccessCustomer,
   getPortalAllowedCustomerIds,
 } from '../utils/accessControl.js';
+import { ApiError } from '../utils/apiError.js';
 
 // Customer CRUD
 export async function getCustomers(req: AuthRequest, res: Response): Promise<void> {
@@ -1293,7 +1294,10 @@ export async function getSalutationPreference(req: AuthRequest, res: Response):
     const result = await customerService.getSalutationPreference(userId, customerId);
     res.json({ success: true, data: result } as ApiResponse);
   } catch (error) {
-    res.status(500).json({
+    // Pentest R104.1: ApiError-Statuscodes durchreichen (404 statt 500
+    // bei nicht-existierendem Kunden).
+    const status = error instanceof ApiError ? error.statusCode : 500;
+    res.status(status).json({
       success: false,
       error: error instanceof Error ? error.message : 'Fehler beim Laden der Anrede-Präferenz',
     } as ApiResponse);
@@ -1325,7 +1329,8 @@ export async function setSalutationPreference(req: AuthRequest, res: Response):
     const result = await customerService.getSalutationPreference(userId, customerId);
     res.json({ success: true, data: result } as ApiResponse);
   } catch (error) {
-    res.status(500).json({
+    const status = error instanceof ApiError ? error.statusCode : 500;
+    res.status(status).json({
       success: false,
       error: error instanceof Error ? error.message : 'Fehler beim Speichern der Anrede-Präferenz',
     } as ApiResponse);
@@ -1349,7 +1354,8 @@ export async function clearSalutationPreference(req: AuthRequest, res: Response)
     const result = await customerService.getSalutationPreference(userId, customerId);
     res.json({ success: true, data: result } as ApiResponse);
   } catch (error) {
-    res.status(500).json({
+    const status = error instanceof ApiError ? error.statusCode : 500;
+    res.status(status).json({
       success: false,
       error: error instanceof Error ? error.message : 'Fehler beim Zurücksetzen der Anrede-Präferenz',
     } as ApiResponse);