- /api/images/file/{filename} und /api/images/file/{filename}/thumb als GET ohne Auth erlaubt (analog zu /api/shared/)