feat: Phase 0 – Gerüst (FastAPI+SQLite, Multi-User-Login, React-App-Shell, Deploy)

Grundgerüst für Certain Finance:
- Backend: FastAPI + SQLAlchemy + SQLite, Alembic-Migrationen (Batch-Mode),
  argon2-Passwort-Hashing, server-seitige Sitzungen im Cookie, Erst-Admin,
  Benutzerverwaltung mit Temporär-Passwort, Einstellungen je Benutzer.
- Ein Prozess, ein Port: uvicorn liefert API (/api) und gebautes SPA aus,
  inkl. SPA-Deeplink-Fallback.
- Frontend: React 18 + Vite + JSX, Design-Tokens (Light/Dark), i18n DE/EN,
  Inline-SVG-Icons (keine Emojis), Login, Passwort-ändern, Dashboard-Platzhalter,
  Benutzer- und Einstellungsseiten.
- Deploy: nativer LXC-Installer + Update-Skript (systemd), env-Vorlage, Doku.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

deploy/env.example

@@ -0,0 +1,29 @@
+# Konfiguration für Certain Finance (Umgebungsvariablen, Präfix APP_).
+# install.sh erzeugt daraus /etc/certain-finance/env mit sicheren Zufallswerten.
+# Nach Änderungen den Dienst neu starten:  systemctl restart certain-finance
+
+# Ablageort für SQLite-Datenbank und Backups (muss dem Dienst-Benutzer gehören).
+APP_DATA_DIR=/var/lib/certain-finance
+
+# Interner Port, auf dem der Dienst lauscht. Der Nginx Proxy Manager leitet
+# von außen (HTTPS) hierher weiter. Nur an 127.0.0.1 gebunden (siehe Unit).
+APP_PORT=8071
+
+# Signiert/HMACt Sitzungen. UNBEDINGT zufällig setzen (install.sh macht das).
+APP_SESSION_SECRET=change-me-please
+
+# Cookies nur über HTTPS senden. Hinter dem Nginx Proxy Manager: true.
+APP_COOKIE_SECURE=true
+
+# Erster Admin – wird NUR beim allerersten Start angelegt (wenn noch kein Nutzer da ist).
+APP_ADMIN_USERNAME=admin
+APP_ADMIN_PASSWORD=changeme
+
+# Standard-Hauptwährung für neue Benutzer (EUR oder CHF).
+APP_DEFAULT_BASE_CURRENCY=EUR
+
+# Beim Start die aktuellen EZB-Wechselkurse laden (ab Phase 1 relevant).
+APP_ECB_FETCH_ON_START=true
+
+# Wird vom Install-/Update-Skript gesetzt (kurzer Git-Commit, für /api/version).
+APP_GIT_SHA=