refactor(admin): separates Admin-Login statt is_admin-Flag

Auf Wunsch: Betreiber-Bereich getrennt von Kundenkonten.
- auth.js: signAdminToken (role:operator), requireAdmin prüft Token-Rolle;
  requireAuth weist Operator-Token ab (saubere Trennung beide Richtungen)
- routes/admin.js: POST /admin/login (ADMIN_PASSWORD → Operator-Token)
- env.js: adminPassword statt adminEmail
- 0003_admin.sql: droppt die nicht mehr genutzte accounts.is_admin-Spalte
- register/login/account/me: is_admin restlos entfernt

E2E: Kunde→403, falsches PW→401, richtiges PW→Token, stats→200,
Admin-Token→Kundenroute→401.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

server/migrations/0003_admin.sql

@@ -1,5 +1,6 @@
--- RAPPORT-HOST — Admin-Flag für den Betreiber-Bereich (/admin).
--- Ein Konto mit is_admin = true sieht alle Kunden, Abos, Instanzen und kann
--- Instanzen sperren/reaktivieren. Das eigene Konto wird automatisch promoted,
--- wenn die E-Mail ADMIN_EMAIL aus der .env entspricht (siehe auth.js).
-alter table accounts add column if not exists is_admin boolean not null default false;
+-- RAPPORT-HOST — Admin-Modell.
+-- Der Betreiber-Bereich (/admin) nutzt ein SEPARATES Login (ADMIN_PASSWORD),
+-- getrennt von Kundenkonten — kein Konto-Flag nötig. Eine frühere Version
+-- legte accounts.is_admin an; das ist nicht mehr in Gebrauch und wird hier
+-- wieder entfernt (idempotent).
+alter table accounts drop column if exists is_admin;