fix(security): SMB-Volumes verschluesselt und minimal berechtigt

Befunde des Commit-Security-Reviews behoben:
- Klartextuebertragung: vers=3.1.1 mit "seal" (SMB3-Verschluesselung)
  fuer Medien- und Backup-Volume.
- Rueckschritt Zugriffskontrolle: Backup-PV/PVC wieder ReadWriteOnce statt
  ReadWriteMany (nur der Backup-Job haengt es ein).
- Zu weite Rechte: Medien-Volume nur lesbar (dir_mode 0550, file_mode
  0440); geschrieben wird ausschliesslich ueber das NAS.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/overlays/production/kustomization.yaml

@@ -40,9 +40,6 @@ patches:
       - op: add
         path: /spec/volumeName
         value: artista-modelcamp-db-backup-smb
-      - op: replace
-        path: /spec/accessModes
-        value: ["ReadWriteMany"]
   - target: { kind: ConfigMap, name: artista-modelcamp-config }
     patch: |-
       - op: replace