fix(security): SMB-Volumes verschluesselt und minimal berechtigt

Befunde des Commit-Security-Reviews behoben:
- Klartextuebertragung: vers=3.1.1 mit "seal" (SMB3-Verschluesselung)
  fuer Medien- und Backup-Volume.
- Rueckschritt Zugriffskontrolle: Backup-PV/PVC wieder ReadWriteOnce statt
  ReadWriteMany (nur der Backup-Job haengt es ein).
- Zu weite Rechte: Medien-Volume nur lesbar (dir_mode 0550, file_mode
  0440); geschrieben wird ausschliesslich ueber das NAS.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/overlays/production/kustomization.yaml

@@ -40,9 +40,6 @@ patches:
       - op: add
         path: /spec/volumeName
         value: artista-modelcamp-db-backup-smb
-      - op: replace
-        path: /spec/accessModes
-        value: ["ReadWriteMany"]
   - target: { kind: ConfigMap, name: artista-modelcamp-config }
     patch: |-
       - op: replace

k8s/overlays/production/smb-volumes.yaml

@@ -33,11 +33,12 @@ spec:
   persistentVolumeReclaimPolicy: Retain
   storageClassName: ""
   mountOptions:
-    - vers=3.0
+    - vers=3.1.1
+    - seal            # SMB3-Verschluesselung: keine Klartextdaten im Netz
     - uid=1001          # Containerbenutzer "nextjs" (Dockerfile)
     - gid=1001
-    - dir_mode=0770
-    - file_mode=0660
+    - dir_mode=0550     # App liest nur; Schreiben ausschliesslich ueber das NAS
+    - file_mode=0440
     - mfsymlinks
     - nobrl
   csi:
@@ -58,11 +59,13 @@ metadata:
 spec:
   capacity:
     storage: 10Gi
-  accessModes: ["ReadWriteMany"]
+  # ReadWriteOnce: nur der Backup-Job haengt dieses Volume ein.
+  accessModes: ["ReadWriteOnce"]
   persistentVolumeReclaimPolicy: Retain
   storageClassName: ""
   mountOptions:
-    - vers=3.0
+    - vers=3.1.1
+    - seal            # SMB3-Verschluesselung: keine Klartextdaten im Netz
     - uid=70            # Benutzer "postgres" im pg_dump-Job (postgres:18-alpine)
     - gid=70
     - dir_mode=0700     # Sicherungen enthalten personenbezogene Daten