E-Mail-Praeferenzen: Opt-out je Mail-Typ + One-Click-Unsubscribe ohne Login

Co-authored-by: Cursor <cursoragent@cursor.com>

bootstrap/app.php

@@ -59,6 +59,13 @@ return Application::configure(basePath: dirname(__DIR__))
             RejectLegacyApiKeys::class,
         ]);
 
+        // One-Click-Unsubscribe (RFC 8058): Mail-Clients POSTen ohne Session/
+        // CSRF-Token auf die signierte Abmelde-URL — die Signatur ersetzt den
+        // CSRF-Schutz.
+        $middleware->validateCsrfTokens(except: [
+            'e-mail-benachrichtigungen/abmelden/*',
+        ]);
+
         $middleware->alias([
             'abilities' => CheckAbilities::class,
             'ability' => CheckForAnyAbility::class,