security: Rechteausweitung schließen & Admin-Panel feingranular gaten (K1, H1, H2, M8)

- users:manage/roles:manage auf allen User-/Rollen-Masken erzwungen;
  is_super_admin aus $fillable entfernt und nur per autorisiertem
  forceFill setzbar; zentraler Gate::before-Super-Admin-Kurzschluss (K1/M8).
- Nicht-Super-Admins können Super-Admin-Konten nicht mehr bearbeiten (Fix#2);
  Impersonation mit Rangprüfung, keine Token-Erstellung während Impersonation (H1).
- Destruktive/verwaltende Admin-Aktionen (CRM/Billing/Compliance/Struktur)
  hängen an neuen admin-only Permissions; Editor behält reine Content-Rechte (H2).
- Kanonischer Permission-Katalog (App\Authorization\Permission) als Single
  Source of Truth für Seeder und Monitoring.

Deployment: `php artisan db:seed --class=RolesAndPermissionsSeeder` auf allen
Umgebungen ausführen (neue Permissions).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

app/Models/User.php

@@ -39,7 +39,8 @@ class User extends Authenticatable implements MustVerifyEmail
         'registration_type',
         'language',
         'is_active',
-        'is_super_admin',
+        // 'is_super_admin' bewusst NICHT mass-assignable: nur über autorisiertes
+        // forceFill() setzbar (Super-Admin-Rang), sonst Privilege-Escalation-Landmine.
         'last_login_at',
         'last_login_ip',
         'gdpr_consent_at',