feat(betrieb): native Installation, Proxmox-Einzeiler und Abnahme (#37)

Zwei Wege in den Betrieb, beide so weit gefahren, wie es hier moeglich war.

deploy/install.sh richtet Debian 13 in neun Schritten ein: PostgreSQL 17 hoert
nur am Unix-Socket, der Dienstnutzer hat kein Login, die Geheimnisse entstehen
im Zielsystem und liegen 0600 bei root. Die Umgebungsdatei wird nie
ueberschrieben -- auch nicht beim Aktualisieren, sonst enden alle Sitzungen und
die verschluesselten Bind-Passwoerter waeren unlesbar.

deploy/proxmox/laufzettel.sh legt den Container an und ruft install.sh darin
auf. Der pct-Teil ist ungetestet, weil kein PVE-Host zur Verfuegung stand; die
Gegenprobe steht als Pruefliste in docs/betrieb/proxmox.md, das Folge-Issue ist
Nummer 38.

Die Abnahme gegen alle 61 Kriterien hat drei Zusagen ohne Deckung gefunden, alle
behoben: der Healthcheck des Webdienstes konnte nie bestehen (busybox loest
localhost nach ::1 auf, Next lauscht nur auf IPv4), die CI-Pipeline konnte in
keinem Job gruen werden (kein LDAP-Dienst, kein gestarteter Server, kein
shellcheck), und der README nannte fuer die Entwicklungsdatenbank den falschen
Port.

Closes #19

.env.example

@@ -11,12 +11,19 @@ APP_URL=https://laufzettel.example.de
 # Mindestens 32 Zeichen. Erzeugen mit: openssl rand -base64 48
 APP_SECRET=
 
-# Zugang zur Datenbank. Im Compose-Stand wird der Dienstname postgres verwendet
-# und die Datenbank ist von aussen nicht erreichbar.
+# Zugang zur Datenbank.
+#
+# Im Compose-Stand baut sich die Adresse aus den drei POSTGRES_*-Werten zusammen:
+# die Datenbank heisst dort `postgres` (Dienstname im internen Netz) und ist von
+# aussen nicht erreichbar. DATABASE_URL wird dafuer **nicht** gelesen.
+#
+# DATABASE_URL gilt fuer alles, was ausserhalb der Container laeuft: `pnpm dev`,
+# `pnpm prisma …`, `pnpm db:seed` von der Werkbank aus. Standard ist die
+# Entwicklungsdatenbank aus docker-compose.dev.yml (Port 5434, umstellbar ueber DEV_DB_PORT).
 POSTGRES_USER=laufzettel
 POSTGRES_PASSWORD=
 POSTGRES_DB=laufzettel
-DATABASE_URL=postgresql://laufzettel:@postgres:5432/laufzettel?schema=public
+DATABASE_URL=postgresql://laufzettel:laufzettel@localhost:5434/laufzettel?schema=public
 
 # ---------- Anmeldung ----------