feat(betrieb): native Installation, Proxmox-Einzeiler und Abnahme

Zwei Wege in den Betrieb, beide so weit gefahren, wie es hier moeglich war.

deploy/install.sh richtet Debian 13 in neun Schritten ein: PostgreSQL 17 hoert
nur am Unix-Socket, der Dienstnutzer hat kein Login, die Geheimnisse entstehen
im Zielsystem und liegen 0600 bei root. Die Umgebungsdatei wird nie
ueberschrieben -- auch nicht beim Aktualisieren, sonst enden alle Sitzungen und
die verschluesselten Bind-Passwoerter waeren unlesbar.

deploy/proxmox/laufzettel.sh legt den Container an und ruft install.sh darin
auf. Der pct-Teil ist ungetestet, weil kein PVE-Host zur Verfuegung stand; die
Gegenprobe steht als Pruefliste in docs/betrieb/proxmox.md, das Folge-Issue ist
#024.

Die Abnahme gegen alle 61 Kriterien hat drei Zusagen ohne Deckung gefunden, alle
behoben: der Healthcheck des Webdienstes konnte nie bestehen (busybox loest
localhost nach ::1 auf, Next lauscht nur auf IPv4), die CI-Pipeline konnte in
keinem Job gruen werden (kein LDAP-Dienst, kein gestarteter Server, kein
shellcheck), und der README nannte fuer die Entwicklungsdatenbank den falschen
Port.

Closes #19

tests/betriebsstand.test.ts

@@ -40,6 +40,15 @@ describe("Betriebsstand: docker-compose.yml", () => {
     expect(stand.services["web"]?.ports).toEqual(["${BIND_ADDR:-127.0.0.1}:${APP_PORT:-3000}:3000"]);
   });
 
+  it("prueft die Gesundheit des Webdienstes ueber IPv4, nicht ueber localhost", () => {
+    // busybox-wget loest localhost zuerst nach ::1 auf, Next lauscht nur auf
+    // 0.0.0.0:3000. Mit localhost stand web dauerhaft auf (unhealthy), obwohl
+    // die App antwortete (#019).
+    const probe = (stand.services["web"] as unknown as { healthcheck?: { test?: string[] } }).healthcheck
+      ?.test;
+    expect(probe).toEqual(["CMD", "wget", "-qO-", "http://127.0.0.1:3000/api/gesundheit"]);
+  });
+
   it("bricht ohne Geheimnisse ab, statt mit Standardwerten zu starten", () => {
     const roh = readFileSync("docker-compose.yml", "utf8");
     expect(roh).toContain("${APP_SECRET:?");