security/api/betrieb: Fortify-2FA-Nebenwege gesperrt, Policy nur für aktive Super-Admins, Nachprüfungen aus dem Umsetzungsaudit (Block 7, U08–U10, U13, 7.1, 7.2, 7.5)

- Fortifys sieben 2FA-Verwaltungsrouten antworten mit 404 (Middleware über
  fortify.middleware); die Sicherheitsseite verlangt weiter den zweiten Faktor (U09)
- PressReleasePolicy/CompanyPolicy::before() bejahen nur aktive Super-Admins (7.2)
- API-Update prüft bei Portalwechsel die bestehende Kategorie gegen das neue Portal (U10)
- Aggregation: Zeitbudget 480 s unter dem Lock von 600 s, Marke nur unter
  Zeilensperre vom erwarteten Stand aus, sonst Fehler-Exit (U13)
- Newsletter-Bereinigungsmigration behält je Paar die sent-Zeile (U08)
- E-Mail-Wechsel stößt den Rechte-Sync sofort an; company-memberships:audit
  --classify zeigt vorher die Kandidaten und begrenzt mit --before (7.1)
- Detailseite wählt bei Slug-Kollision wie der Melde-Resolver (7.5)

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

database/migrations/2026_09_18_110000_add_unique_user_to_newsletter_campaign_recipients_table.php

@@ -11,8 +11,9 @@ use Illuminate\Support\Facades\Schema;
  * zweiten Seite Empfänger doppelt eingefügt. Der Unique-Index macht den
  * Start idempotent (insertOrIgnore) und fängt jede weitere Doppelung ab.
  *
- * Bestehende Doppelungen werden vorher bereinigt — es bleibt jeweils die
- * älteste Zeile. Zeilen ohne User (gelöschte Accounts) sind nicht betroffen;
+ * Bestehende Doppelungen werden vorher bereinigt — es bleibt je Paar eine
+ * Zeile mit Status `sent` (der Zustellnachweis, Audit U08), sonst die
+ * älteste. Zeilen ohne User (gelöschte Accounts) sind nicht betroffen;
  * NULL zählt im Unique-Index nicht als Doppelung.
  *
  * Kleine Tabelle ohne FULLTEXT: der ALTER läuft sofort.
@@ -27,7 +28,7 @@ return new class extends Migration
             WHERE user_id IS NOT NULL
               AND id NOT IN (
                 SELECT keep_id FROM (
-                    SELECT MIN(id) AS keep_id
+                    SELECT COALESCE(MIN(CASE WHEN status = 'sent' THEN id END), MIN(id)) AS keep_id
                     FROM newsletter_campaign_recipients
                     WHERE user_id IS NOT NULL
                     GROUP BY newsletter_campaign_id, user_id