feat(ldap): AD connection prefill + group/OU import filter UI

New-config form now defaults to the CTL Active Directory connection
values (balios.ctl.local:3268, dc=ctl,dc=local, AD person filter,
down-level bind-DN hint) with the password left blank; editing an
existing config still shows its real saved values.

Adds a group/OU import filter section: discover AD groups/OUs via
GET /ldap/groups, toggle selection or add DNs manually, persist via
PATCH /ldap/config. Empty selection keeps today's "import everyone
under base DN" behavior.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

apps/web/src/messages/de.json

@@ -278,6 +278,22 @@
       "noTenants": "Keine Mandanten gefunden",
       "deleteConfirm": "Moechten Sie diesen Mandanten wirklich loeschen?",
       "cannotDeleteActive": "Mandanten mit aktiven Benutzern koennen nicht geloescht werden"
+    },
+    "ldap": {
+      "bindDnHint": "AD-Format: Domaene\\Benutzername (z.B. ctl\\serviceaccount), keine DN-Schreibweise.",
+      "groupFilter": {
+        "title": "Import-Filter (Gruppen/OUs)",
+        "description": "Beschraenkt den Sync auf ausgewaehlte AD-Gruppen oder Organisationseinheiten. Ohne Auswahl werden alle Benutzer unter der Basis-DN importiert.",
+        "discover": "Gruppen/OUs suchen",
+        "typeOu": "OU",
+        "typeGroup": "Gruppe",
+        "noneFound": "Keine Gruppen oder OUs gefunden.",
+        "manualDn": "DN manuell hinzufuegen",
+        "addDn": "Hinzufuegen",
+        "selected": "Ausgewaehlt",
+        "emptyMeansAll": "Keine Auswahl - importiert alle Benutzer unter der Basis-DN.",
+        "save": "Filter speichern"
+      }
     }
   },
   "adminModules": {