Bisher habe ich keinen Weg im Sinne des Erfinders(?) gefunden.
KI hat mir einen Würkaround verraten: in scripts/package/builddeb ab if is_enabled CONFIG_MODULES; then ein Script ablegen, was dann alle Module signiert. Das ist früh genug, noch bevor das .deb gebaut wird.