docs: AD- und Exchange-Pruefungen fuer den Live-Test vorgemerkt

Entscheidung des Users vom 2026-09-07: die drei verbleibenden Ledger-Punkte werden
spaeter am Live-System geprueft, nicht in der Entwicklungsumgebung. Sie brauchen ein
erreichbares Active Directory (#4, #6) beziehungsweise ein echtes Exchange-Postfach
(#12) und sind hier nicht ersetzbar.

Als Deferred Items in STATE.md eingetragen, mit dem jeweiligen Pruefauftrag im
Klartext, damit beim naechsten Aufsetzen niemand neu recherchieren muss, was genau
zu tun ist.

Im Ledger bleiben sie ausdruecklich `open` und wurden NICHT auf `waived` gesetzt —
sie sollen nachgeholt werden, nur eben dort, wo die Fremdsysteme erreichbar sind.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01K5jtbGzC5Sf9npJ3JCjKhq

.planning/STATE.md

@@ -5,8 +5,8 @@ milestone_name: Ausschreibungs-Radar
 current_phase: 17
 current_phase_name: eigene-ausschreibungs-quellen-je-nutzer
 status: verified
-stopped_at: "Phase 17 passed. Alte Gegenproben nachgeholt (#1,#2,#3,#5). Zwei Defekte behoben: #10 Zugriffs-Guard auf modul-eigenen Routen (Quick 260907-e8k), #11 Fingerabdruck-Dedup war wirkungslos, 0 statt 26 Gruppen (Quick 260907-efh). Beide im Browser bzw. am laufenden System gegengeprueft. Offen: #4 und #6 (brauchen echtes AD), #12 (Exchange-Live-Test)."
+stopped_at: "Phase 17 passed, #10 und #11 behoben und gegengeprueft, 14 Commits auf origin/main gepusht. Die drei verbleibenden Ledger-Punkte (#4, #6 AD; #12 Exchange) sind auf Entscheidung des Users vom 2026-09-07 fuer den Live-Test vorgemerkt und bleiben bis dahin offen."
-last_updated: "2026-09-07T08:50:00.000Z"
+last_updated: "2026-09-07T09:05:00.000Z"
 last_activity: 2026-09-07
 last_activity_desc: WINDOWS #10 und #11 behoben und gegengeprueft; Ledger auf 3 offene Punkte
 progress:
@@ -332,11 +332,19 @@ Items acknowledged and carried forward from previous milestone close:
 
 | Category | Item | Status | Deferred At |
 |----------|------|--------|-------------|
-| *(none)* | | | |
+| Live-Test AD | WINDOWS #4 — Annahmen A1 (objectGUID uebersteht Umbenennung) und A2 (byteweise Hex-Filter-Syntax) gegen ein echtes Active Directory pruefen. Negatives Ergebnis waere Stopp-Grund fuer die Loeschsemantik D-05 | offen, bewusst auf das Live-System verschoben | 2026-09-07 |
+| Live-Test AD | WINDOWS #6 — Sync ausloesen und die drei Zahlenzeilen sowie die Amber-Zeile bei verschobener Standardmarkierung pruefen | offen, bewusst auf das Live-System verschoben | 2026-09-07 |
+| Live-Test E-Mail | WINDOWS #12 — echtes Portal-Alert-Postfach ueber Exchange/EWS anbinden und eine echte Alarm-Mail ingestieren; der handgeschriebene NTLM/SOAP-Weg ist bisher nur gegen Mocks geprueft | offen, bewusst auf das Live-System verschoben | 2026-09-07 |
+
+**Entscheidung des Users vom 2026-09-07:** Diese drei Punkte werden spaeter am
+Live-System geprueft, nicht in der Entwicklungsumgebung. Sie bleiben im Ledger
+ausdruecklich `open` und sind NICHT auf `waived` gesetzt — sie sollen nachgeholt
+werden, nur eben dort, wo ein echtes Verzeichnis und ein echtes Postfach erreichbar
+sind. Kein Anlass, sie vorher erneut vorzulegen.
 
 ## Session Continuity
 
-Last session: 2026-09-07T08:50:00.000Z
+Last session: 2026-09-07T09:05:00.000Z
-Stopped at: Alle drei verbleibenden Ledger-Punkte brauchen Fremdsysteme (AD, Exchange). Naechster moeglicher Schritt: /gsd-ship.
+Stopped at: Alles Pruefbare erledigt und gepusht. Offene Punkte warten auf das Live-System.
 Resume file: None
 Last activity: 2026-07-14 - Built LDAP per-user exclude/denylist filter (9d1323f), migration applied on live DB, verified via Playwright: sync deactivated 4 excluded service accounts (administrator/krbtgt/guest/dns-ldap), 2 real LDAP users stay active, 0 wrongly created