cms: Rollen + Kollaboration (Admin sieht alles, Autoren nur eigene/geteilte)

- ADMIN_EMAILS (.env) = Admins, sehen/bearbeiten alles
- Autor:innen sehen nur Einträge mit ihrer Mail unter `authors:`; Ersteller wird
  beim Anlegen automatisch Autor
- Kollaboration: Feld „Autor:innen" im Editor → mehrere Mails = gemeinsamer Zugriff
- API erzwingt Zugriff bei list/read/save (403 ohne Recht)
- ADMIN_EMAILS in compose + LXC-Script (fragt Admin-Mail ab)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

cms/README.md

@@ -39,6 +39,18 @@ Supabase wird **nur noch für den Login** (GoTrue) gebraucht — keine Posts in
 DB. Drafts liegen als `draft: true` in der Datei; der Live-Build lässt sie aus,
 der Preview-Build (`--buildDrafts`) zeigt sie.
 
+## Rechte & Kollaboration
+
+- **Admin** (E-Mails in `ADMIN_EMAILS`) sieht und bearbeitet **alle** Einträge.
+- **Autor:innen** sehen nur Einträge, in denen ihre Mail unter `authors:` steht.
+  Beim Anlegen wird der Ersteller automatisch eingetragen.
+- **Kollaboration**: im Editor weitere E-Mails ins Feld „Autor:innen" → beide
+  haben Zugriff auf denselben Beitrag.
+- Bestehende Beiträge/Seiten/Rubriken **ohne** `authors:` sind nur für Admins
+  sichtbar; ein Admin kann Autor:innen zuweisen, um sie freizugeben.
+- Hinweis: `authors:` landet im Frontmatter (öffentliches Repo) — also E-Mails,
+  die du dort einträgst, sind im Repo sichtbar.
+
 ## Setup
 
 ### Schnellweg: Proxmox-LXC