feat: Cloud-Fundament - Auth, Persistenz und Mandanten-Trennung

- SQLite-Store (app/store.py) hinter Store-Interface: Nutzer + Sessions persistent
- Bearer-Token-Auth (app/auth.py); Nutzerverwaltung via Admin-Key (POST /api/admin/users)
- GET /api/me, PUT /api/me/prefs (dauerhafte Nutzer-Praeferenzen)
- chat/speak/transcribe/sessions auth-geschuetzt; Mandanten-Trennung (fremde Session -> 403)
- Route-Aufloesung: Defaults < Profil < ENV < Nutzer-Prefs < Session < Request
- SessionManager (in-memory) durch Store ersetzt
- AUTH_ENABLED-Schalter (prod an, dev/Tests aus); DB_PATH/ADMIN_API_KEY
- Doku aktualisiert (README, BEDIENUNGSANLEITUNG, Architektur, deploy-env); data/ gitignored
- Tests: 29 gruen (Auth, Mandanten, Persistenz, Routing)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.example

@@ -7,6 +7,13 @@ LOG_LEVEL=info
 # Secret nur ueber die Umgebung setzen (nicht hier eintragen), z. B. export in ~/.bashrc
 OPENROUTER_API_KEY=
 
+# --- Authentifizierung -----------------------------------------------------
+# AUTH_ENABLED=true (Standard) schuetzt chat/speak/transcribe/sessions per Bearer-Token.
+# Fuer lokale Entwicklung/Tests auf false setzen (dann gilt ein anonymer Nutzer).
+AUTH_ENABLED=true
+# Schluessel fuer die Nutzerverwaltung (POST /api/admin/users). Nur ueber die Umgebung.
+ADMIN_API_KEY=
+
 # --- Zentrale Konfiguration / Profile -------------------------------------
 # Aktives Profil aus config/voice-assistant.toml waehlen: local-dev | hybrid | cloud
 # (leer lassen = nur Defaults/ENV). Eigener Pfad via VA_CONFIG_FILE.