Feat: Prod-Bootstrap (Erst-Superadmin) + Contabo-Runbook

- scripts/bootstrap-admin.ts: legt ersten Plattform-Admin + Mandant via
  provisionTenant(isPlatformAdmin) an; idempotent, per Env gesteuert. Ersetzt in
  Prod den Demo-Seed. tsx-@/-Auflösung lokal verifiziert.
- docker-compose.coolify.yml: migrate-Job führt bei BOOTSTRAP_ADMIN=true das Skript
  nach der Migration aus; BOOTSTRAP_*-Vars durchgereicht.
- .env.prod.example: Prod-Env-Referenz (HTTPS, kein Demo-Seed, Bootstrap-Vars).
- docs/DEPLOY-PROD-CONTABO.md: Runbook (VPS-Härtung/Swap, Coolify+Gitea, DNS/TLS
  app.certvia.de, Deploy, Bootstrap, Backups, Go-Live-Checkliste).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.prod.example

@@ -0,0 +1,52 @@
+# Referenz für die PRODUKTIV-Env-Variablen (Contabo-VPS + Coolify).
+# ECHTE Secrets NUR in Coolify eintragen — diese Datei enthält nur Platzhalter.
+# Unterschiede zum Testserver: HTTPS-AUTH_URL, KEIN Demo-Seed, stattdessen Bootstrap-Admin.
+
+# --- Datenbank (Service "postgres") ---
+POSTGRES_USER=isms
+POSTGRES_PASSWORD=CHANGE_ME_starkes_db_passwort
+POSTGRES_DB=isms
+DATABASE_URL=postgresql://isms:CHANGE_ME_starkes_db_passwort@postgres:5432/isms?schema=public
+
+# --- Redis ---
+REDIS_URL=redis://redis:6379
+
+# --- Objektspeicher (MinIO) — S3_* muss zu MINIO_ROOT_* passen ---
+S3_ENDPOINT=http://minio:9000
+S3_ACCESS_KEY=isms
+S3_SECRET_KEY=CHANGE_ME_starkes_minio_passwort
+S3_BUCKET=isms-documents
+MINIO_ROOT_USER=isms
+MINIO_ROOT_PASSWORD=CHANGE_ME_starkes_minio_passwort
+
+# --- Auth (NextAuth) — Produktiv über HTTPS ---
+# AUTH_SECRET: openssl rand -base64 32 (frisch, NICHT der Testwert)
+AUTH_SECRET=CHANGE_ME_openssl_rand_base64_32
+AUTH_URL=https://app.certvia.de
+# AUTH_TRUST_HOST ist im Compose fest auf true (hinter dem Coolify-Proxy) — nicht nötig.
+
+# --- KI-Provider (optional) ---
+AI_PROVIDER=anthropic
+AI_API_KEY=
+
+# --- E-Mail (produktives SMTP-Relay, sobald Einladungs-/Mailflow aktiv) ---
+SMTP_HOST=
+SMTP_PORT=587
+SMTP_USER=
+SMTP_PASSWORD=
+SMTP_FROM=noreply@certvia.de
+
+# --- Demo-Seed: in PROD AUS lassen! ---
+RUN_DEMO_SEED=false
+
+# --- Erst-Superadmin-Bootstrap (statt Demo-Seed) ---
+# Beim ersten Deploy true setzen -> migrate-Job legt Admin + Mandant an (idempotent).
+# Danach kann true bleiben (tut nichts, wenn der Admin existiert) oder auf false.
+BOOTSTRAP_ADMIN=true
+BOOTSTRAP_ADMIN_EMAIL=admin@certvia.de
+BOOTSTRAP_ADMIN_PASSWORD=CHANGE_ME_initiales_admin_passwort
+BOOTSTRAP_ADMIN_NAME=Certvia Admin
+BOOTSTRAP_TENANT_NAME=Certvia
+BOOTSTRAP_TENANT_SLUG=certvia
+BOOTSTRAP_TENANT_SHORT=Certvia
+BOOTSTRAP_TENANT_SECTOR=