media: PM-Medien privat ausliefern + Vorschau-Signatur (M4, M5, Fix#4/#5)

- Neue PM-Bilder/Anhänge liegen auf der privaten local-Disk; Auslieferung
  über kontrollierte Media-Routen mit gemeinsamer Zugriffslogik
  (AuthorizesPressReleaseMediaAccess). Öffentliche Medien werden aus den
  geladenen Modellen ermittelt (weniger Queries) und länger gecacht.
- Anonyme Token-Vorschau lädt Bilder über temporär signierte URLs (Fix#5).
- API-Resource baut Variant-URLs über die Media-Route statt /storage
  (Fix#4). Storage-Schicht prüft zusätzlich den serverseitigen MIME-Type (M5).
- press-releases:privatize-media migriert Bestandsmedien.

Deployment: einmalig `php artisan press-releases:privatize-media` ausführen.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

resources/views/web/release-detail.blade.php

@@ -39,7 +39,10 @@
     $lead = $release->subtitle;
 
     $image = $release->images->first();
-    $imageUrl = $image?->variantUrl('detail') ?? $image?->variantUrl('card') ?? $image?->url();
+    // In der anonymen Token-Vorschau ist die PM noch nicht öffentlich; die
+    // Media-Route braucht daher eine signierte URL, um die Bilder auszuliefern.
+    $signMedia = $isPreview ?? false;
+    $imageUrl = $image?->variantUrl('detail', $signMedia) ?? $image?->variantUrl('card', $signMedia) ?? $image?->url($signMedia);
     $imageCaption = $image?->description ?: $image?->title;
     $imageCredit = $image?->copyright ?: $image?->author;
     // KI-Bildkennzeichnung (Art. 50 KI-VO): Badge direkt am Bild