chore: Einrichtungs-Token nirgendwo abrufbar oder versioniert

Das Token wird zwar immer nach data/ geschrieben und ist dort durch
eine eigene .htaccess geschuetzt. Landet es aber aus irgendeinem Grund
im Projektstamm, griff bisher keine Regel: die .htaccess dort sperrt
Verzeichnisse und bestimmte Dateinamen, .txt gehoerte nicht dazu. Bei
der Variante ohne eigenen Webroot waere es damit unter
https://domain/setup-token.txt abrufbar gewesen - und das Token ist der
Schluessel zur Ersteinrichtung.

Beide .htaccess-Dateien verweigern den Namen jetzt ausdruecklich, mit
und ohne mod_rewrite. Zusaetzlich ist build-release.sh gesperrt.

.gitignore schliesst setup-token.txt in jedem Verzeichnis aus, nicht
nur unter data/.

.gitignore

@@ -3,7 +3,8 @@
 !/data/.gitkeep
 # Schutzdatei muss mit ausgeliefert werden
 !/data/.htaccess
-/data/setup-token.txt
+# Das Einrichtungs-Token gehoert nirgendwo ins Repository.
+setup-token.txt
 /public/uploads/*
 !/public/uploads/.gitkeep
 /vendor/