Serverseitige Verschluesselung optional machen

Der S3-Treiber setzte bei jedem PutObject fest
ServerSideEncryption: 'AES256'. Das mitgelieferte MinIO laeuft ohne KMS
und lehnt das mit "NotImplemented" ab - es liess sich kein einziges
Dokument ablegen. Wer der INSTALLATION.md folgte, landete zwangslaeufig
dort; es war kein Konfigurationsfehler des Betreibers, sondern der
Auslieferungszustand.

Gebraucht wird die Zeile ohnehin nicht mehr. Seit v1.11.0 verschluesselt
die Anwendung jede Datei selbst, bevor sie den Server verlaesst. Eine
zweite Lage durch den Anbieter schuetzt vor nichts, was der eigene
Umschlag nicht schon abdeckt.

Jetzt steuert S3_SSE, ob der Kopf mitgeht. Leer bedeutet aus - auch eine
Zeile mit Leerzeichen, sonst schickte eine leergelassene .env-Zeile einen
leeren Kopf und der Anbieter antwortete mit einem Fehler, den niemand
versteht.

Im Kommentar von v1.11.0 stand, die serverseitige Verschluesselung
"kostet nichts". Das war falsch: Auf MinIO ohne KMS kostete sie die
gesamte Funktion. Der Satz ist korrigiert.

Aufgefallen ist das erst im Betrieb, und der Grund ist derselbe wie beim
Ausloeser: In der Entwicklung laeuft der Dateitreiber, der S3-Pfad wurde
von keinem Test ausgefuehrt. Deshalb pruefen die neuen Tests den Befehl
ab, bevor er das Netz sieht - was hineingeschrieben wird, ist jetzt
belegt, nicht angenommen.

Gegen drei Mutationen geprueft: SSE wieder fest verdrahtet, leere Angabe
nicht abgefangen, Inhalt unverschluesselt - jede wird rot.

Refs #42

docs/INSTALLATION.md

@@ -379,6 +379,13 @@ docker compose exec minio mc ls lokal
 # [...] betreuungs-cockpit/
 ```
 
+> **Serverseitige Verschluesselung?** Brauchst du nicht. Die Anwendung
+> verschlüsselt jede Datei selbst, bevor sie den Server verlässt — mit
+> `ENC_KEY_V1`, der den Anbieter nie erreicht. Das mitgelieferte MinIO
+> läuft ohne KMS und würde jede Ablage ablehnen, sobald `S3_SSE` in der
+> `.env` steht. Setz den Wert nur, wenn ein externer Anbieter ihn
+> ausdrücklich verlangt.
+
 > **Externer Objektspeicher statt MinIO?** Wenn du einen S3-Dienst in der
 > EU benutzt (z. B. Hetzner Object Storage, Falkenstein), streich den
 > `minio`-Dienst aus der `docker-compose.yml`, entfern ihn aus