fix: Cert-Renewal-Handler kann /etc/ssl/archivmail nicht beschreiben (systemd-Sandbox)

ProtectSystem=strict + ReadOnlyPaths=.../etc/ssl/archivmail blockierte den
Cert-Handler (internal/api/cert_handlers.go) beim Erstellen/Erneuern von
Zertifikaten mit "read-only file system" — Fehler kam vom systemd-Namespace,
nicht von einem echten ro-Mount oder Owner-Problem. SSL_DIR gehört in
ReadWritePaths statt ReadOnlyPaths, da die Anwendung dort aktiv schreibt.

Fix im Unit-Generator in update.sh, nicht nur manuell am Server, da die
Unit bei jedem Deploy neu geschrieben wird.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_019j28kGcaJAhBnrYX34hGdt

update.sh

@@ -363,8 +363,8 @@ StandardError=journal
 SyslogIdentifier=archivmail
 NoNewPrivileges=false
 ProtectSystem=strict
-ReadWritePaths=${STORE_DIR} ${LOG_DIR}
-ReadOnlyPaths=${CONFIG_DIR} ${SSL_DIR}
+ReadWritePaths=${STORE_DIR} ${LOG_DIR} ${SSL_DIR}
+ReadOnlyPaths=${CONFIG_DIR}
 
 [Install]
 WantedBy=multi-user.target