feat(admin): Token-Reset-Endpunkt + Doku-Klarstellung zu Token-Verwaltung

- POST /api/admin/users/{user_id}/token: neues Bearer-Token ausstellen
  (alter Token sofort ungültig, Nutzerdaten bleiben erhalten)
- Store ABC + SQLiteStore: reset_token() implementiert
- BEDIENUNGSANLEITUNG §7.2: erklärt warum Tokens nicht abrufbar sind (nur
  SHA256-Hash gespeichert), wo ADMIN_API_KEY nachzuschauen ist (.env),
  wie Token-Reset genutzt wird; praktisches Tipp zu ~/.bashrc
- Anhang B.5: neuen Endpunkt in REST-Referenz eingetragen

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

BEDIENUNGSANLEITUNG.md

@@ -958,16 +958,49 @@ Beispiel-Antwort:
 ```
 
 > ⚠️ Das Token erscheint **nur einmal** — sofort sicher aufbewahren (z. B. in einem
-> Passwort-Manager). Es kann danach nicht mehr abgerufen werden. Bei Verlust muss
-> der Nutzer gelöscht und neu angelegt werden.
+> Passwort-Manager oder `~/.bashrc`). Es wird nur als SHA256-Hash in der Datenbank
+> gespeichert — der Klartext ist danach **nicht mehr abrufbar**.
+>
+> Token verloren? → Neues Token ausstellen (s. u.) oder Nutzer löschen und neu anlegen.
 
 Das Token dem Nutzer mitteilen. Er gibt es bei jedem Aufruf im `Authorization`-Header an:
 ```bash
-TOKEN=va-tok-AbCdEfGh12345...    # einmal setzen
+TOKEN=va-tok-AbCdEfGh12345...    # einmal setzen, z.B. in ~/.bashrc:
+# export TOKEN=va-tok-AbCdEfGh12345...
 curl -s $URL/api/me -H "Authorization: Bearer $TOKEN" | jq
 # → {"user_id":"a3f8c1d2e4b7…","display_name":"Oma Anna","prefs":{}}
 ```
 
+#### Token neu ausstellen (bei Verlust oder Rotation)
+
+Falls das Token verloren gegangen ist oder aus Sicherheitsgründen gewechselt werden soll:
+
+```bash
+curl -s -X POST $URL/api/admin/users/$USER_ID/token \
+  -H "X-Admin-Key: $ADMIN_API_KEY" | jq
+```
+
+Beispiel-Antwort:
+```json
+{
+  "user_id": "a3f8c1d2e4b7...",
+  "display_name": "Oma Anna",
+  "token": "va-tok-NeuErKlArTeXt..."
+}
+```
+
+Der **alte Token wird sofort ungültig**. Der neue Token erscheint ebenfalls nur einmal —
+alle bisherigen Daten (Erinnerungen, Gesprächsverlauf) bleiben erhalten.
+
+> **Woher kommt `$ADMIN_API_KEY`?** Dieser Key ist in der Datei `.env` auf dem Server
+> hinterlegt. Nachschauen mit:
+> ```bash
+> grep ADMIN_API_KEY .env
+> # ADMIN_API_KEY=mein-geheimes-admin-passwort
+> ```
+> Du hast ihn beim Setup selbst gewählt. Er ist **kein** auto-generierter Hash —
+> du kannst ihn jederzeit in `.env` lesen und bei Bedarf ändern (Gateway neu starten).
+
 #### Alle Nutzer anzeigen
 
 ```bash
@@ -1524,6 +1557,7 @@ Body-Felder: `input_endpoint`, `output_endpoint`, `stt_provider`, `llm_provider`
 | `POST` | `/api/admin/users` | `X-Admin-Key` | Nutzer anlegen → Token einmalig |
 | `GET` | `/api/admin/users` | `X-Admin-Key` | Alle Nutzer auflisten |
 | `DELETE` | `/api/admin/users/{user_id}` | `X-Admin-Key` | Nutzer + alle Daten löschen |
+| `POST` | `/api/admin/users/{user_id}/token` | `X-Admin-Key` | Neues Token ausstellen (alter Token sofort ungültig) |
 
 ## B.6 WebSocket