feat(betrieb): native Installation, Proxmox-Einzeiler und Abnahme

Zwei Wege in den Betrieb, beide so weit gefahren, wie es hier moeglich war.

deploy/install.sh richtet Debian 13 in neun Schritten ein: PostgreSQL 17 hoert
nur am Unix-Socket, der Dienstnutzer hat kein Login, die Geheimnisse entstehen
im Zielsystem und liegen 0600 bei root. Die Umgebungsdatei wird nie
ueberschrieben -- auch nicht beim Aktualisieren, sonst enden alle Sitzungen und
die verschluesselten Bind-Passwoerter waeren unlesbar.

deploy/proxmox/laufzettel.sh legt den Container an und ruft install.sh darin
auf. Der pct-Teil ist ungetestet, weil kein PVE-Host zur Verfuegung stand; die
Gegenprobe steht als Pruefliste in docs/betrieb/proxmox.md, das Folge-Issue ist
#024.

Die Abnahme gegen alle 61 Kriterien hat drei Zusagen ohne Deckung gefunden, alle
behoben: der Healthcheck des Webdienstes konnte nie bestehen (busybox loest
localhost nach ::1 auf, Next lauscht nur auf IPv4), die CI-Pipeline konnte in
keinem Job gruen werden (kein LDAP-Dienst, kein gestarteter Server, kein
shellcheck), und der README nannte fuer die Entwicklungsdatenbank den falschen
Port.

Closes #19

docs/betrieb/README.md

@@ -0,0 +1,67 @@
+# Laufzettel betreiben
+
+Diese Sammlung richtet sich an den, der Laufzettel betreibt, aber nicht gebaut hat. Sie führt von
+einem leeren Server bis zur ersten Anmeldung, und danach durch Aktualisierung, Sicherung und
+Fehlersuche. Wer die Anwendung *benutzen* will, liest stattdessen die
+[Anleitung](../anleitung/README.md).
+
+Es gibt zwei Wege in den Betrieb. Beide sind gleichwertig und führen zum selben Stand.
+
+| Weg | Für wen | Was du mitbringen musst |
+|---|---|---|
+| **[Docker Compose](inbetriebnahme.md)** | Es gibt schon einen Docker-Host, und weitere Dienste laufen dort ebenso. Aktualisieren heißt neu bauen. | Docker mit Compose-Plugin |
+| **[Nativ im Proxmox-LXC](proxmox.md)** | Es gibt einen Proxmox-Host und keinen Docker. Ein Skript legt den Container an und installiert darin alles — PostgreSQL, Node, die Anwendung, einen systemd-Dienst. | Proxmox VE 8 oder 9, oder ein leeres Debian 13 |
+
+Nimm den Compose-Weg, wenn du schwankst: er ist der Weg, gegen den hier entwickelt und getestet
+wird. Der `pct`-Teil des Proxmox-Skripts ist ungetestet — das steht so, und warum, in
+[`proxmox.md`](proxmox.md).
+
+## Was auf beiden Wegen gilt
+
+Vier Dinge sind keine Empfehlung, sondern Teil des Aufbaus. Sie zu übergehen heißt, einen anderen
+Stand zu betreiben als den beschriebenen.
+
+**Die Datenbank ist von außen nicht erreichbar.** Im Compose-Stand hat `postgres` kein
+`ports:`-Mapping und hängt nur im Netz `intern`, das `internal: true` ist — ein Netz ohne Gateway.
+Nativ läuft PostgreSQL mit `listen_addresses = ''`, also nur am Unix-Socket. Dieselbe Regel, zwei
+Mittel. Daraus folgt, dass jede Sicherung und jeder Blick in die Daten über den Dienstnamen
+beziehungsweise den Socket läuft, nie über `psql -h localhost`. `tests/betriebsstand.test.ts` hält
+das für den Compose-Stand fest, damit ein `ports:`-Mapping nicht versehentlich zurückkommt.
+
+**Die Anwendung bindet auf `127.0.0.1`** und spricht kein HTTPS. Davor gehört ein Reverse Proxy, der
+das Zertifikat hält — siehe [`reverse-proxy.md`](reverse-proxy.md). Ohne Proxy erreicht die
+Anwendung niemand außer dem Host selbst, und das ist die richtige Voreinstellung: ein Dienst, der
+aus Versehen im LAN steht, fällt keinem auf.
+
+**`APP_URL` ist die öffentliche Adresse und wird nicht geraten.** Aus ihr entstehen die QR-Adressen
+auf den gedruckten Aufklebern und die OIDC-Rücksprungadresse. Sie später zu ändern ist möglich, aber
+teuer — der Grund steht am Anfang von [`reverse-proxy.md`](reverse-proxy.md). Leg die Adresse fest,
+bevor der erste Aufkleber gedruckt wird.
+
+**Geheimnisse entstehen im Zielsystem.** `APP_SECRET`, das Datenbank-Passwort und das erste
+Admin-Passwort werden dort erzeugt, wo sie gelten, und stehen in keinem Repository und in keiner
+Vorlage. `APP_SECRET` gehört mit in die Sicherung: ohne ihn sind nach dem Zurückspielen alle
+Sitzungen ungültig *und* die verschlüsselt gespeicherten LDAP-Bind-Passwörter unlesbar. Siehe
+[`sicherung.md`](sicherung.md).
+
+## Die Kapitel
+
+- **[Inbetriebnahme mit Docker Compose](inbetriebnahme.md)** — von null bis zur ersten Anmeldung,
+  mit der vollständigen Tabelle der Umgebungsvariablen, dem Seed und der Aktualisierung
+- **[Der native Weg im Proxmox-LXC](proxmox.md)** — `deploy/proxmox/laufzettel.sh` und
+  `deploy/install.sh`, was sie anlegen, wie ein zweiter Aufruf aktualisiert, und die Prüfliste für
+  den ersten echten Lauf
+- **[Reverse Proxy](reverse-proxy.md)** — Caddy und nginx als vollständiges Beispiel, TLS,
+  Weiterleitungen, welche Kopfzeilen nötig sind und welche schaden
+- **[Anmeldung über authentik](authentik.md)** — OIDC-Provider, Gruppen auf Rollen, Notfallzugang
+- **[Sichern und Zurückspielen](sicherung.md)** — auf beiden Wegen, was in die Sicherung gehört und
+  was nicht, und wie du prüfst, dass das Zurückspielen wirklich funktioniert
+
+## Wo sonst noch etwas steht
+
+- [`../../README.md`](../../README.md) — Kurzfassung für Entwickler, Betriebsmodi, Seed-Inhalt
+- [`../../.env.example`](../../.env.example) — jede Umgebungsvariable mit Kommentar, zum Kopieren
+- [`../architektur.md`](../architektur.md) — warum es so gebaut ist; Abschnitt 6 fasst die
+  Betriebsregel zusammen
+- [`../anleitung/08-fehlerbehebung.md`](../anleitung/08-fehlerbehebung.md) — Fehlermeldungen der
+  Oberfläche. Wer eine Meldung im Browser sieht, ist dort besser bedient als hier