Doku: Supabase-Admin-Setup klarer (Dialog-Output + README Abschnitt 5)

- Tool legt Admin-User nicht an -> Schritt-für-Schritt: User in Supabase
  (Auth → Users → Add user, Auto Confirm) + E-Mail in ADMIN_ALLOWED_EMAILS
- Deploy-Output zeigt Login-Vorbedingungen
- Hinweis auf optionalen Self-Service-Signup

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

README.md

@@ -142,22 +142,27 @@ Die Web-Ports **80/443** gehen an den **Nginx Proxy Manager**, nicht direkt an d
 
 ---
 
-## 5. Supabase-Login einrichten (Admin-UI)
+## 5. Supabase-Login einrichten (Admin-UI)  ← WICHTIG vor dem ersten Login
 
-Die Admin-UI nutzt Supabase-Auth (wie OPENBUREAU):
+Die Admin-UI nutzt **Supabase-Auth** (wie OPENBUREAU). **Das Tool legt den Admin-User NICHT
+selbst an** — du erstellst ihn einmalig im Supabase-Dashboard. Schritt für Schritt:
 
-1. In deinem Supabase-Projekt unter **Authentication → Users** einen Benutzer mit deiner E-Mail anlegen (oder Einladung).
-2. Diese E-Mail muss in `ADMIN_ALLOWED_EMAILS` stehen (in `/opt/dms-stack/.env`).
-3. `SUPABASE_URL` und `SUPABASE_ANON_KEY` in `.env` müssen gesetzt sein.
+1. **Supabase-Projekt** (falls noch keins): [supabase.com](https://supabase.com) → New Project (Free-Tier reicht).
+2. **Keys holen**: Project Settings → **API** →
+   - `Project URL` → das ist `SUPABASE_URL`
+   - `anon` `public` Key → das ist `SUPABASE_ANON_KEY`
+3. **Admin-User anlegen**: Authentication → **Users** → **Add user** →
+   - E-Mail + Passwort eintragen, **„Auto Confirm User"** aktivieren (sonst braucht's eine Bestätigungsmail).
+4. **Diese E-Mail** muss in `ADMIN_ALLOWED_EMAILS` stehen (Deploy-Dialog bzw. `/opt/dms-stack/.env`).
+5. Werte gesetzt? `cd /opt/dms-stack && docker compose up -d && docker compose restart admin-ui admin-api`.
+6. **Login**: `https://admin.<domain>` → mit dieser E-Mail + Passwort einloggen.
 
-Änderungen an der `.env` aktiv machen:
-```bash
-cd /opt/dms-stack
-docker compose up -d            # liest .env neu (UI/-API neu starten)
-docker compose restart admin-ui admin-api
-```
-
-> Nur E-Mails aus `ADMIN_ALLOWED_EMAILS` erhalten Zugriff — alle anderen Supabase-User werden von der API mit 403 abgewiesen.
+> Nur E-Mails aus `ADMIN_ALLOWED_EMAILS` erhalten Zugriff — alle anderen Supabase-User werden mit 403 abgewiesen.
+>
+> **Alternative (Self-Service):** In Supabase unter Authentication → Providers → Email **„Enable Signup"**
+> aktivieren; dann kann sich die erlaubte E-Mail über die Login-Seite selbst registrieren. (Standard: aus.)
+>
+> Weitere Admins später: einfach in Supabase als User anlegen **und** die E-Mail in `ADMIN_ALLOWED_EMAILS` ergänzen.
 
 ---