Let's Encrypt Support: DOMAIN+LETSENCRYPT_EMAIL in .env aktivieren echtes Zertifikat

- caddy/entrypoint.sh generiert Caddyfile jetzt dynamisch: sind DOMAIN und
  LETSENCRYPT_EMAIL gesetzt, holt Caddy automatisch ein Let's-Encrypt-Zertifikat;
  sonst Fallback auf das bisherige selbstsignierte 100-Jahres-Zertifikat.
- .env.example um DOMAIN/LETSENCRYPT_EMAIL ergaenzt (auskommentiert), inkl. Erklaerung.
- Caddy /data und /config (ACME-Cache) jetzt unter ./daten gebind-mounted statt
  Named Volumes, damit ein einzelner Ordner fuer Backup/Umzug reicht.
- statische Caddyfile entfernt (wird zur Laufzeit erzeugt), README entsprechend
  um beide Zertifikats-Modi erweitert.

.env.example

@@ -1,3 +1,15 @@
-# Hostname/IP fuer das selbstsignierte 100-Jahres-Zertifikat (CN + SAN).
-# Nach dem ersten Start nur wirksam, wenn daten/caddy_certs vorher geleert wird.
+# --- Let's Encrypt (echtes, oeffentlich vertrauenswuerdiges Zertifikat) ---
+# Werden BEIDE Felder ausgefuellt, fordert Caddy beim Start automatisch ein
+# Let's-Encrypt-Zertifikat fuer DOMAIN an (und erneuert es danach selbst).
+# Voraussetzung: DOMAIN zeigt per DNS-A/AAAA-Record auf diesen Host, Port 80
+# UND 443 sind aus dem Internet erreichbar (HTTP-01 Challenge).
+#
+# DOMAIN=baikal.meine-domain.de
+# LETSENCRYPT_EMAIL=ich@meine-domain.de
+
+# --- Fallback: selbstsigniertes 100-Jahres-Zertifikat ---
+# Wird automatisch genutzt (bzw. beim ersten Start erzeugt), wenn DOMAIN
+# und/oder LETSENCRYPT_EMAIL oben LEER bleiben. Bereits vorhandenes
+# Zertifikat unter daten/caddy_certs wird dabei nicht ueberschrieben.
+# CADDY_CERT_CN steuert nur CN/SAN dieses selbstsignierten Zertifikats.
 CADDY_CERT_CN=baikal.local