feat: Auftragskatalog-Auswahl-API und optionen-Passthrough

Neue Migrationen 0008 (device_merkmale.optionen JSONB) und 0009 (Kategorien
app-store/individuelle-systemkonfiguration, Katalogfähigkeit für
guest-session-ephemeral/browser-brave/office-onlyoffice). Check-in-Antwort
gibt optionen je Auftrag mit. Neue admin-token-geschützte Endpoints zum
Auflisten/Auswählen/Abwählen von Aufträgen pro Gerät.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

migrations/0009_auftragskatalog_seed.sql

@@ -0,0 +1,24 @@
+BEGIN;
+
+INSERT INTO kategorien (id, key, name, description, sort_order) VALUES
+    ('99999999-9999-4999-8999-999999999999', 'app-store', 'App-Store',
+        'Installierbare Anwendungen.', 10),
+    ('aaaaaaaa-aaaa-4aaa-8aaa-aaaaaaaaaaaa', 'individuelle-systemkonfiguration', 'Individuelle Systemkonfiguration',
+        'Verhaltensänderungen am System, keine reinen Anwendungsinstallationen.', 20);
+
+UPDATE merkmale SET
+    im_auftragskatalog = true,
+    kategorie_id = 'aaaaaaaa-aaaa-4aaa-8aaa-aaaaaaaaaaaa'
+    WHERE key = 'guest-session-ephemeral';
+
+UPDATE merkmale SET
+    im_auftragskatalog = true,
+    kategorie_id = '99999999-9999-4999-8999-999999999999'
+    WHERE key = 'browser-brave';
+
+UPDATE merkmale SET
+    im_auftragskatalog = true,
+    kategorie_id = '99999999-9999-4999-8999-999999999999'
+    WHERE key = 'office-onlyoffice';
+
+COMMIT;