refactor(k8s): Aufbau wie Wabenhain/ApiCore, Zertifikat funktionsfaehig

- Dateinamen nach Wabenhain-Schema (01-configmap, 02-secret,
  03-storage, 04-postgres, 05-app-deployment, 06-ingress,
  07-worker-cronjob, 08-networkpolicy); Secret-Vorlage als
  02-secret.yaml.example, echte 02-secret.yaml gitignored.
- Namespace: Pod Security "baseline" erzwungen, "restricted" als warn/audit.
  "restricted" kann den HTTP-01-Solver-Pod von cert-manager abweisen und
  damit die Zertifikatsausstellung blockieren.
- NetworkPolicy nur noch fuer PostgreSQL; keine Policy vor der App (wie
  Wabenhain/ApiCore), da sie bei Traefik im Host-Netzwerk die Seite sperrt.
- README: kompletter Neuaufbau inkl. Freigabe der Retain-PVs nach
  "kubectl delete namespace", Zertifikats-Diagnose.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/02-secret.yaml.example

@@ -0,0 +1,28 @@
+# Kopieren nach k8s/02-secret.yaml (ist in .gitignore), Werte eintragen,
+# dann: kubectl apply -f k8s/02-secret.yaml
+# Zufallswerte: openssl rand -base64 48
+apiVersion: v1
+kind: Secret
+metadata:
+  name: artista-modelcamp-secrets
+  namespace: artista
+stringData:
+  DB_PASSWORD: "PASSWORT"
+  DATABASE_URL: "postgresql://artista:PASSWORT@artista-modelcamp-postgres:5432/artista"
+  APP_SECRET: "ZUFALL-MIND-32-ZEICHEN"
+  BETTER_AUTH_SECRET: "ANDERER-ZUFALL-MIND-32-ZEICHEN"
+  STRIPE_SECRET_KEY: "sk_test_..."
+  STRIPE_WEBHOOK_SECRET: "whsec_..."
+  SMTP_HOST: "smtp.example.org"
+  SMTP_USER: "benutzer"
+  SMTP_PASSWORD: "passwort"
+---
+# Zugang zur SMB-Freigabe (fuer 03-storage.yaml)
+apiVersion: v1
+kind: Secret
+metadata:
+  name: artista-modelcamp-smb
+  namespace: artista
+stringData:
+  username: "NAS-BENUTZER"
+  password: "NAS-PASSWORT"