refactor(admin): separates Admin-Login statt is_admin-Flag

Auf Wunsch: Betreiber-Bereich getrennt von Kundenkonten.
- auth.js: signAdminToken (role:operator), requireAdmin prüft Token-Rolle;
  requireAuth weist Operator-Token ab (saubere Trennung beide Richtungen)
- routes/admin.js: POST /admin/login (ADMIN_PASSWORD → Operator-Token)
- env.js: adminPassword statt adminEmail
- 0003_admin.sql: droppt die nicht mehr genutzte accounts.is_admin-Spalte
- register/login/account/me: is_admin restlos entfernt

E2E: Kunde→403, falsches PW→401, richtiges PW→Token, stats→200,
Admin-Token→Kundenroute→401.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

server/routes/admin.js

@@ -1,12 +1,24 @@
-// RAPPORT-HOST — Betreiber-Bereich (/api/admin). Nur für is_admin-Konten.
-// Übersicht aller Kunden, Abos, Instanzen + Sperren/Reaktivieren.
+// RAPPORT-HOST — Betreiber-Bereich (/api/admin). Separates Admin-Login
+// (ADMIN_PASSWORD), getrennt von Kundenkonten. Übersicht aller Kunden, Abos,
+// Instanzen + Sperren/Reaktivieren.
 import { Router } from "express";
 import { one, query } from "../db.js";
-import { requireAdmin } from "../auth.js";
+import { requireAdmin, signAdminToken } from "../auth.js";
 import { getPlan } from "../plans.js";
+import { env } from "../env.js";
 
 export const adminRouter = Router();
 
+// — Separates Admin-Login (Passwort aus ADMIN_PASSWORD) — kein requireAdmin davor.
+adminRouter.post("/login", (req, res) => {
+  if (!env.adminPassword) return res.status(503).json({ error: "Admin-Bereich nicht konfiguriert." });
+  if ((req.body?.password || "") !== env.adminPassword) {
+    return res.status(401).json({ error: "Passwort falsch." });
+  }
+  res.json({ token: signAdminToken() });
+});
+
+// Alle folgenden Routen verlangen einen gültigen Operator-Token.
 adminRouter.use(requireAdmin);
 
 // — Kennzahlen fürs Dashboard —
@@ -32,7 +44,7 @@ adminRouter.get("/stats", async (_req, res) => {
 // — Alle Kunden mit Abo + Instanzen —
 adminRouter.get("/accounts", async (_req, res) => {
   const { rows } = await query(`
-    select a.id, a.email, a.company, a.is_admin, a.created_at,
+    select a.id, a.email, a.company, a.created_at,
            s.plan, s.status as sub_status, s.current_period_end,
            coalesce(i.cnt, 0)::int as instance_count
       from accounts a