downloadapi: HMAC-signierte, zeitlich befristete Download-URLs fuer die verschluesselten Originale. Berechtigung wird beim Ausstellen geprueft (DocumentOwnerChecker), die Signatur selbst ist danach der Zugriffsnachweis. RFC-5987-Dateinamenkodierung fuer Sonderzeichen. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>