feat(admin): Token-Reset-Endpunkt + Doku-Klarstellung zu Token-Verwaltung

- POST /api/admin/users/{user_id}/token: neues Bearer-Token ausstellen
  (alter Token sofort ungültig, Nutzerdaten bleiben erhalten)
- Store ABC + SQLiteStore: reset_token() implementiert
- BEDIENUNGSANLEITUNG §7.2: erklärt warum Tokens nicht abrufbar sind (nur
  SHA256-Hash gespeichert), wo ADMIN_API_KEY nachzuschauen ist (.env),
  wie Token-Reset genutzt wird; praktisches Tipp zu ~/.bashrc
- Anhang B.5: neuen Endpunkt in REST-Referenz eingetragen

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

app/api/admin.py

@@ -59,6 +59,17 @@ async def delete_user(user_id: str):
     return {"deleted": user_id}
 
 
+@router.post("/admin/users/{user_id}/token", response_model=UserCreated, dependencies=[Depends(require_admin)])
+async def reset_token(user_id: str):
+    """Stellt einen neuen Bearer-Token aus; der alte wird sofort ungueltig.
+    Der neue Token wird EINMALIG zurueckgegeben und danach nicht mehr angezeigt."""
+    result = get_store().reset_token(user_id)
+    if result is None:
+        raise HTTPException(status_code=404, detail=f"Nutzer {user_id!r} nicht gefunden.")
+    user, token = result
+    return UserCreated(user_id=user.id, display_name=user.display_name, token=token)
+
+
 @router.get("/admin/users", dependencies=[Depends(require_admin_or_user)])
 async def list_users():
     """Listet die Nutzer (ohne Secrets). Fuer Admins (SSO/ADMIN_USERS) oder ADMIN_API_KEY."""