fix(security): Rechteprüfung deny by default, API-Keys nur auf freigegebenen Routen

- PermissionsGuard lehnt Routen ohne @RequirePermissions/@AllowAnyAuthenticated
  ab. API-Keys umgehen keine Rechteprüfung mehr, sondern gelten nur auf
  Routen mit @AllowApiKey (Paperless-Webhook, externer Upload, checksum,
  Agent-Routen des Etikettendrucks).
- Rechte für 24 bisher offene Routen ergänzt, u.a. paperless/documents
  (nur Admin), paperless/documents/:id und Kontonummern (Posteingang/
  manuell), webhook/status (Admin). routen-rechte.spec.ts prüft alle Routen.
- Etiketten-Agent: printed/error nur für abgeholte, offene Jobs (bedingtes
  Update, sonst 409) – ein gedruckter Job kann seine Nummer nicht mehr
  freigeben. Feldwerte nur aus den Eingabefeldern der Vorlage ({number}
  nicht vorgebbar) und URL-kodiert in GET-/Callback-URLs.
- PUT paperless/inbox/:id ignoriert Freigabe (CF15) und Zahlung (CF16)
  ohne die jeweilige Rolle (Funktionstrennung).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

paperless-backend/src/kontonummern/kontonummern.controller.ts

@@ -1,6 +1,7 @@
-import { Controller, Get, Post, Body, Param, UseGuards } from '@nestjs/common';
+import { Controller, Get, Post, Body, Param } from '@nestjs/common';
 import { KontonummernService } from './kontonummern.service';
-import { JwtOrApiKeyGuard } from '../auth/jwt-or-apikey.guard';
+import { RequirePermissions } from '../auth/permissions.decorator';
+import { Permission } from '../auth/permissions.enum';
 
 export class CreateKontonummerDto {
   correspondentId: number;
@@ -8,7 +9,8 @@ export class CreateKontonummerDto {
 }
 
 @Controller('api/kontonummern')
-@UseGuards(JwtOrApiKeyGuard)
+// Bankverbindungen: nur für die Dokumentbearbeitung (Posteingang, manuell)
+@RequirePermissions(Permission.VIEW_INBOX, Permission.PROCESS_MANUALLY)
 export class KontonummernController {
   constructor(private readonly kontonummernService: KontonummernService) {}