fix(invoice): Befunde aus dem Sicherheitsreview

- E-Rechnung: in XML verbotene Steuerzeichen aus Namen/Anschriften entfernen,
  sonst waere das eingebettete XML bei einem einzigen Zeichen ungueltig.
- Rechnungskopie: genau eine Adresse; eine Liste ([email protected],[email protected]) wird beim
  Speichern abgelehnt und nie an nodemailer gegeben.
- Hinweis bei fehlgeschlagener Stornorechnung korrigiert (ein erneutes
  Stornieren ist nicht moeglich, die Stripe-Erstattung holt sie nach).

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

src/app/admin/actions/content.ts

@@ -67,7 +67,8 @@ export async function updateSiteContentAction(formData: FormData): Promise<void>
       }
       // Die Rechnungskopie geht an genau diese Adresse: leer (keine Kopie) oder
       // eine echte Adresse, sonst verschwaenden die Kopien stillschweigend.
-      if (def.key === INVOICE_COPY_KEY && valueDe.trim() !== "" && normalizeContactEmail(valueDe) === null) {
+      // Genau eine Adresse: "[email protected], [email protected]" waere fuer nodemailer eine Liste.
+      if (def.key === INVOICE_COPY_KEY && valueDe.trim() !== "" && !/^[^,;]+$/.test(normalizeContactEmail(valueDe) ?? "")) {
         return fail(
           settingsPathForGroup(group),
           "„Rechnungskopie an“ ist keine gültige E-Mail-Adresse. Bitte z. B. [email protected] eintragen oder das Feld leer lassen."

src/app/admin/actions/orders.ts

@@ -328,7 +328,7 @@ export async function updateOrderStatusAction(formData: FormData): Promise<void>
         await issueCancellationInvoice(orderId, "STORNIERUNG");
       } catch (error: unknown) {
         console.error(`[order-cancel] Stornorechnung fuer ${result.orderNumber} fehlgeschlagen:`, error);
-        stornoWarnings.push("Die Stornorechnung konnte nicht erstellt werden — bitte die Stornierung erneut auslösen oder den Support informieren.");
+        stornoWarnings.push("Die Stornorechnung konnte nicht erstellt werden. Sie entsteht spätestens mit der Stripe-Erstattung; sonst bitte den Support informieren.");
       }
 
       if (stornoWarnings.length > 0) {