audit: Nacharbeit Umsetzungsaudit 25.09.2026 — Bildfreigabe, Beweisarchiv, KI-Atomarität, Berichte (Block 8, N01–N05, N07, N08, N10–N21, 5.1, 5.2)

Bilder (N01, N05, N07, N08): gemeinsamer Freigabezustand
PressReleaseImage::isPubliclyDeliverable() für Seiten, OG und Medienroute
(Bestand bleibt sichtbar, v2 nur mit Bestätigung, Admin-Upload bis zum
Kundenklick nicht öffentlich); eigene Ability confirmImageRights nur für den
Kontoinhaber, ohne Super-Admin-Kurzschluss, Identität und ausstehende
Bestätigung auch im Service; Status-Regel unter der PM-Sperre; Cache-Flush
nach dem Commit außerhalb der Dateibereinigung; Snapshot nach Bestätigung an
veröffentlichter PM; Bestätigungstexte an die gezeigte Kennung gebunden.

Beweisarchiv (N02, N10, N11, N12, N13, 5.1): Tombstone unter Zeilensperre mit
erneuter Hold-/Fristprüfung; Dateioperationen ausgewertet, Commands mit
FAILURE; record() über .tmp + move; Marker archive_pending_at mit
archive:retry-pending und archive:sweep-orphans; Anonymisierung entfernt Bilder
über den Remover mit Antragsbezug; Draft-Purge räumt Medien nie
veröffentlichter abgelehnter Einreichungen; App-Kopien fallen mit dem
Archiv-Tombstone; label_corrected nur für veröffentlichte Bilder;
archive_entries.legal_request_id; FileDeletion-Helfer; Systemstatus-Checks.

KI und Hintergrund (N03, N04, N14, N20, N21): Ergebnis-UPDATE und Audit in
einer Transaktion; erwarteter Hash bis in reject()/holdForManualReview();
Ablaufmail per beanspruchtem Marker in einer Transaktion; strikte
Schemaprüfung der Vision-Antwort; Fortschrittsmarke ungecacht.

Berichte und Canonical (N15–N19, 5.2): lückenlose Alterskohorten;
Feed-Identität mit Portal und Sprache; Sitemap-Rolle in der Kundenansicht;
Indexverteilung auf einer Grundgesamtheit; Kopien nach Wegfall der
Erstquelle neu bewertet; Kategorie-Admin leert Seiten-Caches; Dry-Run
zählt alle Tabellen.

Gesamtsuite: 2.122 Tests grün, einer übersprungen; Larastan und Pint sauber.
Zwei Migrationen (nullable Spalten, INSTANT). N09 offen.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

app/Policies/PressReleasePolicy.php

@@ -12,8 +12,14 @@ class PressReleasePolicy
      * Kurzschluss nur für AKTIVE Super-Admins (Audit 7.2): ein deaktiviertes
      * Konto fällt auf die regulären Prüfungen zurück, die es ablehnen.
      */
-    public function before(User $user): ?bool
+    public function before(User $user, string $ability): ?bool
     {
+        // Die Kundenbestätigung eines Admin-Uploads ist an die Identität des
+        // Kontoinhabers gebunden (DU E1/E10, Audit N05) — kein Kurzschluss.
+        if ($ability === 'confirmImageRights') {
+            return null;
+        }
+
         return ($user->is_super_admin && $user->is_active) ? true : null;
     }
 
@@ -75,6 +81,22 @@ class PressReleasePolicy
         return $user->is_super_admin === true;
     }
 
+    /**
+     * „Bild bestätigen" nach einem Admin-Upload (Bildkennzeichnung B.4,
+     * DU E10): ausschließlich der Kontoinhaber der Meldung — er ist der
+     * Vertragspartner (DU E1) —, auch bei bereits veröffentlichter PM
+     * (Admin-Bildtausch). Nicht von `update` geerbt (Audit N05).
+     */
+    public function confirmImageRights(User $user, PressRelease $pressRelease): bool
+    {
+        return $this->isAuthor($user, $pressRelease)
+            && in_array(
+                $pressRelease->status,
+                [PressReleaseStatus::Draft, PressReleaseStatus::Rejected, PressReleaseStatus::Review, PressReleaseStatus::Published],
+                true,
+            );
+    }
+
     public function publish(User $user, PressRelease $pressRelease): bool
     {
         return $user->canAccessAdmin() && $user->can('press-releases:publish');