fix(deps): High-/Critical-Advisories schliessen, typecheck-Script

pnpm audit --prod meldete 1 critical und 8 high:
- next 16.3.5 -> 16.3.8 (critical), eslint-config-next mitgezogen
- nodemailer 9 -> 10.1.0 (Bruch nur: Node >= 20; Image laeuft auf Node 22)
- sharp >= 0.35.5 und source-map-js >= 1.2.2 per Override (transitiv ueber next)
- mariadb >= 3.5.4 (direkt und per Override)

Neues Script "typecheck" (Prisma-Clients erzeugen, tsc --noEmit) fuer das CI-Gate.
Lokal geprueft: lint, typecheck, 674 Tests, next build gruen; audit ohne high.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

pnpm-workspace.yaml

@@ -15,8 +15,13 @@ overrides:
   # lib/db-adapter.ts fuer DATABASE_PROVIDER=mysql) bringt intern eine
   # eigene, veraltete [email protected] mit, die vom direkten mariadb-Eintrag in
   # den dependencies (bereits auf ^3.5.3) NICHT ueberschrieben wird — pnpm
-  # haelt dafuer sonst zwei getrennte Kopien vor.
-  mariadb: '>=3.4.6'
+  # haelt dafuer sonst zwei getrennte Kopien vor. Seit 2026-10-14 >= 3.5.4
+  # (neues High-Advisory fuer < 3.5.4, pnpm audit).
+  mariadb: '>=3.5.4'
+  # sharp < 0.35.5 und source-map-js < 1.2.2 (High-Advisories), beide
+  # transitiv ueber next; reine Patch-Spruenge.
+  sharp: '>=0.35.5'
+  source-map-js: '>=1.2.2'
   # GHSA-rgwj-5xj2-c3m3 u.a.: mysql2 < 3.23.1. Kommt ausschliesslich ueber die
   # prisma-CLI herein (Migrationen/Generate), nicht ueber den Laufzeitpfad der
   # Anwendung — die nutzt bei DATABASE_PROVIDER=mysql den mariadb-Treiber