security/api/betrieb: Fortify-2FA-Nebenwege gesperrt, Policy nur für aktive Super-Admins, Nachprüfungen aus dem Umsetzungsaudit (Block 7, U08–U10, U13, 7.1, 7.2, 7.5)

- Fortifys sieben 2FA-Verwaltungsrouten antworten mit 404 (Middleware über
  fortify.middleware); die Sicherheitsseite verlangt weiter den zweiten Faktor (U09)
- PressReleasePolicy/CompanyPolicy::before() bejahen nur aktive Super-Admins (7.2)
- API-Update prüft bei Portalwechsel die bestehende Kategorie gegen das neue Portal (U10)
- Aggregation: Zeitbudget 480 s unter dem Lock von 600 s, Marke nur unter
  Zeilensperre vom erwarteten Stand aus, sonst Fehler-Exit (U13)
- Newsletter-Bereinigungsmigration behält je Paar die sent-Zeile (U08)
- E-Mail-Wechsel stößt den Rechte-Sync sofort an; company-memberships:audit
  --classify zeigt vorher die Kandidaten und begrenzt mit --before (7.1)
- Detailseite wählt bei Slug-Kollision wie der Melde-Resolver (7.5)

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

app/Policies/CompanyPolicy.php

@@ -8,9 +8,13 @@ use App\Scopes\PortalScope;
 
 class CompanyPolicy
 {
+    /**
+     * Kurzschluss nur für AKTIVE Super-Admins (Audit 7.2): ein deaktiviertes
+     * Konto fällt auf die regulären Prüfungen zurück, die es ablehnen.
+     */
     public function before(User $user): ?bool
     {
-        return $user->is_super_admin ? true : null;
+        return ($user->is_super_admin && $user->is_active) ? true : null;
     }
 
     public function viewAny(User $user): bool

app/Policies/PressReleasePolicy.php

@@ -8,9 +8,13 @@ use App\Models\User;
 
 class PressReleasePolicy
 {
+    /**
+     * Kurzschluss nur für AKTIVE Super-Admins (Audit 7.2): ein deaktiviertes
+     * Konto fällt auf die regulären Prüfungen zurück, die es ablehnen.
+     */
     public function before(User $user): ?bool
     {
-        return $user->is_super_admin ? true : null;
+        return ($user->is_super_admin && $user->is_active) ? true : null;
     }
 
     public function viewAny(User $user): bool