feat(anmeldung): lokale Benutzerkonten mit Pflicht-TOTP (#035)

Ohne authentik gab es nur den Notfall-Admin – ein geteiltes Konto ohne
Rollen und ohne erkennbare Akteure im Audit-Log. Admins legen jetzt
lokale Konten an; sshkv erzeugt ein Einmal-Passwort, das bei der ersten
Anmeldung ersetzt wird, danach ist TOTP Pflicht.

Rollen, Sperren (beendet Sitzungen sofort) und Zurücksetzen unter
Einstellungen → Benutzer, nur für Admins mit frischer Bestätigung.
SSHKV_LOKALE_KONTEN=0 schaltet lokale Konten ab; der Notfall-Admin
bleibt.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.env.example

@@ -51,6 +51,12 @@ SSHKV_OIDC_GROUP_READER=sshkv-readers
 # Nur Entwicklung: OIDC ueber http erlauben (Mock-Anbieter). Im Betrieb nie setzen.
 # SSHKV_OIDC_HTTP_ERLAUBT=1
 
+# --- Lokale Konten (#035) -------------------------------------------------------
+# Admins legen unter /einstellungen/benutzer Konten mit Passwort und Pflicht-TOTP an – neben
+# oder statt authentik. 0 schaltet sie ab (vorhandene lokale Konten kommen dann nicht mehr
+# hinein); der Notfall-Admin bleibt immer.
+SSHKV_LOKALE_KONTEN=1
+
 # --- Notfall-Admin -------------------------------------------------------------
 # Wird beim ersten Seed angelegt. TOTP wird bei der ersten Anmeldung eingerichtet.
 SSHKV_BREAKGLASS_USER=notfall