refactor: Build-Upload nutzt SECRET_KEY + Doku klargestellt

- Backend: Upload-Auth prueft SECRET_KEY statt eigenen Token
  (ein Token weniger zu verwalten)
- BUILD_UPLOAD_TOKEN in Entwicklungs-.env = SECRET_KEY vom Server
- .env.example: Klarer Kommentar dass CLOUD_URL + BUILD_UPLOAD_TOKEN
  NUR auf der Entwicklungsmaschine gesetzt werden, nicht auf dem Server
- README: Desktop Sync Client Abschnitt mit Build-Anleitung und
  Auto-Upload-Erklaerung

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

README.md

@@ -268,10 +268,49 @@ data/             # Laufzeitdaten (gitignored)
   files/          # Hochgeladene Dateien
 ```
 
+## Desktop Sync Client
+
+Der Desktop-Client (`clients/desktop/`) synchronisiert Dateien zwischen der Cloud und einem lokalen Ordner. Gebaut mit Tauri 2 (Rust + Vue).
+
+### Bauen
+
+```bash
+# Voraussetzung: Docker
+
+# Linux:
+./build.sh linux
+
+# Windows (Cross-Compile):
+./build.sh windows
+
+# macOS (nur auf Mac):
+./build.sh mac
+
+# Alle Desktop-Plattformen:
+./build.sh all-desktop
+```
+
+### Auto-Upload auf den Server
+
+Nach dem Build kann der Client automatisch auf den Cloud-Server hochgeladen werden und steht dort zum Download bereit.
+
+**Auf der Entwicklungsmaschine** (nicht auf dem Server!) in die `.env` eintragen:
+
+```bash
+# URL der Cloud-Instanz
+CLOUD_URL=https://cloud.example.com
+
+# SECRET_KEY des Zielservers (identisch mit SECRET_KEY in der Server-.env)
+BUILD_UPLOAD_TOKEN=der-secret-key-vom-server
+```
+
+Danach laedt `./build.sh linux` (etc.) den Build automatisch hoch. Auf der Login-Seite erscheint dann "Desktop & Mobile Clients herunterladen".
+
+**Wichtig:** `CLOUD_URL` und `BUILD_UPLOAD_TOKEN` gehoeren NUR in die `.env` der Entwicklungsmaschine, NICHT auf den Produktionsserver!
+
 ## Roadmap
 
-- Desktop Sync-Client (Windows, Linux, macOS) mit Full Sync + Virtual Files
-- Mobile Sync-Client (iOS, Android) mit On-Demand-Download
+- Mobile Sync-Client (iOS, Android) mit On-Demand-Download + File Provider
 - Native Passwort-Manager Clients mit Autofill und Biometrie
 - Radicale-Integration fuer vollstaendiges CalDAV/CardDAV-Protokoll