audit: Nacharbeit Umsetzungsaudit 25.09.2026 — Bildfreigabe, Beweisarchiv, KI-Atomarität, Berichte (Block 8, N01–N05, N07, N08, N10–N21, 5.1, 5.2)

Bilder (N01, N05, N07, N08): gemeinsamer Freigabezustand
PressReleaseImage::isPubliclyDeliverable() für Seiten, OG und Medienroute
(Bestand bleibt sichtbar, v2 nur mit Bestätigung, Admin-Upload bis zum
Kundenklick nicht öffentlich); eigene Ability confirmImageRights nur für den
Kontoinhaber, ohne Super-Admin-Kurzschluss, Identität und ausstehende
Bestätigung auch im Service; Status-Regel unter der PM-Sperre; Cache-Flush
nach dem Commit außerhalb der Dateibereinigung; Snapshot nach Bestätigung an
veröffentlichter PM; Bestätigungstexte an die gezeigte Kennung gebunden.

Beweisarchiv (N02, N10, N11, N12, N13, 5.1): Tombstone unter Zeilensperre mit
erneuter Hold-/Fristprüfung; Dateioperationen ausgewertet, Commands mit
FAILURE; record() über .tmp + move; Marker archive_pending_at mit
archive:retry-pending und archive:sweep-orphans; Anonymisierung entfernt Bilder
über den Remover mit Antragsbezug; Draft-Purge räumt Medien nie
veröffentlichter abgelehnter Einreichungen; App-Kopien fallen mit dem
Archiv-Tombstone; label_corrected nur für veröffentlichte Bilder;
archive_entries.legal_request_id; FileDeletion-Helfer; Systemstatus-Checks.

KI und Hintergrund (N03, N04, N14, N20, N21): Ergebnis-UPDATE und Audit in
einer Transaktion; erwarteter Hash bis in reject()/holdForManualReview();
Ablaufmail per beanspruchtem Marker in einer Transaktion; strikte
Schemaprüfung der Vision-Antwort; Fortschrittsmarke ungecacht.

Berichte und Canonical (N15–N19, 5.2): lückenlose Alterskohorten;
Feed-Identität mit Portal und Sprache; Sitemap-Rolle in der Kundenansicht;
Indexverteilung auf einer Grundgesamtheit; Kopien nach Wegfall der
Erstquelle neu bewertet; Kategorie-Admin leert Seiten-Caches; Dry-Run
zählt alle Tabellen.

Gesamtsuite: 2.122 Tests grün, einer übersprungen; Larastan und Pint sauber.
Zwei Migrationen (nullable Spalten, INSTANT). N09 offen.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

dev/betrieb/deploy-runbook.md

@@ -292,7 +292,20 @@ Newsroom-Übersicht, eine alte PM-Detailseite (lädt Bild + Anhang?), Firmenlogo
   Das Beweisarchiv (Bildkennzeichnung Block F) löscht Einträge nach Frist; eine
   eingespielte Sicherung würde gelöschte Zeilen und Payloads zurückbringen. Der
   Abgleich liest den täglich exportierten Tombstone-Stand
-  (`storage/app/archive/tombstones/latest.json`) und entfernt sie erneut.
+  (`storage/app/archive/tombstones/latest.json`) **und** die Tombstone-Zeilen der
+  Datenbank und entfernt wiederhergestellte Payloads erneut. Exit-Code ≠ 0 heißt:
+  mindestens eine Datei ließ sich nicht löschen — Log prüfen, Lauf wiederholen.
+- **Achtung bei Restore der Archiv-Disk:** Wird `storage/app/archive` selbst auf
+  einen älteren Stand zurückgesetzt, ist auch `tombstones/latest.json` alt. Dann
+  **vor** dem Abgleich den jüngsten Tombstone-Export von außerhalb des Hosts
+  einspielen (Kopie aus dem letzten Backup-Lauf *nach* dem letzten `archive:purge`)
+  oder sicherstellen, dass die Datenbank den aktuellen Stand hat — der Abgleich
+  nimmt dann die DB-Tombstones. Ein automatisches externes Exportziel ist nicht
+  gebaut (Betreiberentscheidung offen, Umsetzungsaudit 25.09.2026, 5.1 c).
+- **Nach dem Restore ebenfalls:** `php artisan archive:retry-pending` (holt
+  Archiveinträge nach, deren Ablage beim Vorgang fehlgeschlagen ist; Zähler im
+  Admin-Systemstatus) und `php artisan archive:sweep-orphans --dry-run`
+  (Payload-Dateien ohne Zeile).
 - `ARCHIVE_KEY` (Beweisarchiv) und `CONFIRMATION_IP_KEY` liegen nur in der
   Ploi-Umgebung. `ARCHIVE_KEY` getrennt vom DB-Backup sichern — ohne ihn ist das
   Archiv unlesbar; erzeugen mit `php artisan archive:key`.