Nee, alles komplett Default.
Hat sich aber zum Glück erledigt. Unser lokales API-Tool (“Teste” auf dem Mac) hat fälschlicherweise den Auth-Header mitgesendet obwohl dieser aus dem Tool entfernt wurde. Durch diesen Bug sah es im ersten Moment so aus, als wenn alle API-Endpunkte offen sind - da ging erstmal kurz die Düse. Nutzen jetzt HTTPie - scheint hier wohl die deutlich bessere Lösung zu sein.