feat(2-Schritt2): Login-Link + persistentes is_admin-Flag pro Nutzer

- Nutzerverwaltung zeigt beim Anlegen/„Link erneuern" jetzt den vollen
  Ein-Klick-Link (location.origin/?k=<token>) statt nur des Tokens.
- Neuer Admin-Schalter pro Nutzer (DB-Spalte users.is_admin + Migration).
  is_admin_user() honoriert das Flag ODER ADMIN_USERS (SSO). Dadurch zeigt
  /me den Admin-Button anhand des Flags — Grundlage für den nginx-Cutover.
- admin.py: PUT /admin/users/{id}/admin; list_users liefert is_admin.

Migration live verifiziert (Spalte vorhanden, bestehende Admins via
ADMIN_USERS weiterhin korrekt). app.js v=45. 219 passed.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

app/auth.py

@@ -64,7 +64,11 @@ def _username_from_cookie(headers, cfg: Settings) -> str | None:
 
 def is_admin_user(user: User | None, cfg: Settings = settings) -> bool:
     """True, wenn der Nutzer (per SSO-Identitaet) in ADMIN_USERS steht."""
-    if user is None or not user.external_id:
+    if user is None:
+        return False
+    if getattr(user, "is_admin", False):
+        return True  # persistentes DB-Flag (vom Admin gesetzt)
+    if not user.external_id:
         return False
     return user.external_id in _csv_set(cfg.admin_users)