security: server.py Admin-Routen serialisieren (ADMIN_LOCK, Review-Befund q)

Threading-Umstellung aus (p) hatte eine Nebenlaeufigkeits-Race in den
Admin-Routen erzeugt: conduit.toml Read-Modify-Write + docker restart und
der send_admin-Readback-nach-sleep waren seit multithreaded race-faehig.
ADMIN_LOCK serialisiert NUR die Admin-Mutationen; die oeffentlichen Routen
(livekit-token, e2ee-diagnostics) laufen zuerst und bleiben nebenlaeufig,
der Slow-Loris-Schutz aus (p) bleibt erhalten. Headless verifiziert.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

ROADMAP.md

@@ -74,6 +74,11 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
       Zusatz (Fable-5-Review (p), 2026-07-04): `server.py` läuft jetzt multithreaded
       mit 30-s-Socket-Timeout – ein einzelner langsamer Client kann den Server
       (und damit `/api/livekit-token`) nicht mehr blockieren; headless verifiziert.
+      Zusatz (Fable-5-Review (q), 2026-07-04): Der durch (p) eingeführte
+      Nebenläufigkeits-Race in den Admin-Routen (Read-Modify-Write auf `conduit.toml`,
+      `send_admin`-Readback) ist mit `ADMIN_LOCK` geschlossen, das NUR die
+      Admin-Mutationen serialisiert – die öffentlichen Routen bleiben nebenläufig;
+      headless verifiziert (2× parallel = 2× Laufzeit, öffentlicher Pfad 11 ms).
 - [x] **LiveKit-Token-Route server-seitig gebaut + verifiziert** (Fable-5-Review (n),
       PROGRESS.md 2026-07-04). `POST /api/livekit-token` läuft live in `server.py`
       (whoami-Auth, stdlib-HS256-Minting aus `livekit.yaml`), headless geprüft