feat(260729-d3k): multi-line Base-DN textarea + reworked scope i18n

- Base-DN admin field is now a multi-line textarea (one DN per line),
  value stays a single newline-separated string, no schema change
- baseDnHint key added (de/en) explaining the Base-DN(s) sync scope
- groupFilter.description/emptyMeansAll reworded: group filter is an
  optional extra restriction; empty selection means all users under
  the base DN(s) are synced (drops the old "nothing is synced"
  framing)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

apps/web/src/messages/de.json

@@ -284,6 +284,7 @@
       "connectionTitle": "Verbindungseinstellungen",
       "serverUrl": "Server-URL",
       "baseDn": "Basis-DN",
+      "baseDnHint": "Ein DN pro Zeile. Die Basis-DN(s) legen den Umfang der Synchronisation fest.",
       "bindDn": "Bind-DN",
       "bindPassword": "Bind-Passwort",
       "searchFilter": "Suchfilter",
@@ -317,7 +318,7 @@
       },
       "groupFilter": {
         "title": "Import-Filter (Gruppen/OUs)",
-        "description": "Beschraenkt den Sync auf ausgewaehlte AD-Gruppen oder Organisationseinheiten. Ohne Auswahl wird nichts synchronisiert.",
+        "description": "Optionale zusaetzliche Einschraenkung auf ausgewaehlte AD-Gruppen oder Organisationseinheiten. Ohne Auswahl werden alle Benutzer unter den Basis-DN(s) synchronisiert.",
         "discover": "Gruppen/OUs suchen",
         "typeOu": "OU",
         "typeGroup": "Gruppe",
@@ -327,7 +328,7 @@
         "manualDn": "DN manuell hinzufuegen",
         "addDn": "Hinzufuegen",
         "selected": "Ausgewaehlt",
-        "emptyMeansAll": "Keine Auswahl - es wird nichts synchronisiert.",
+        "emptyMeansAll": "Keine Auswahl - alle Benutzer unter den Basis-DN(s) werden synchronisiert.",
         "save": "Filter speichern"
       },
       "userExclude": {