Gegenbuch: Dienstkonto statt Token, .env mit gueltigen Werten

Blocker behoben: Ich hatte ein dauerhaftes API-Token vorausgesetzt - das gibt
es in OpenCRM nicht. Zugangstoken leben 15 Minuten, der Gegenbuch-Container
waere nach dem ersten Durchlauf gestorben. Aufgefallen erst durch die Frage des
Betreibers, woher er den Token nimmt.

Loesung: Das Gegenbuch meldet sich bei jedem Lauf selbst an, mit einem eigenen
Benutzerkonto, dessen Rolle ausschliesslich audit:read traegt. Damit kann es
nur Pruefwerte lesen - keine Kundendaten, keine Aenderungen. CRM_TOKEN bleibt
fuer Tests moeglich, ist aber nicht mehr der Normalweg. Fehlerfaelle (falsches
Passwort, Anmelde-Bremse, CRM nicht erreichbar) werden unterschieden und im
Klartext gemeldet.

.env.example nennt jetzt zu jedem Schalter die gueltigen Werte - bisher liess
sich nur raten, ob es prod oder production heisst. Einschliesslich des Falls
"erst nur Staging testen, Prod spaeter dazunehmen".

Beide READMEs um "Zugang einrichten" ergaenzt: Rolle mit nur audit:read,
Benutzer damit, Zugangsdaten in die .env. Mit dem Hinweis, dass jede Anmeldung
im Audit-Log erscheint - gewollt, denn so faellt auch auf, wenn das Gegenbuch
aufhoert zu arbeiten.

Verifiziert gegen eine Attrappe, die wie das echte CRM eine Anmeldung verlangt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

tools/audit-notary/docker-compose.yml

@@ -26,7 +26,8 @@ services:
     environment:
       INSTANZ: prod
       CRM_URL: ${PROD_CRM_URL}
-      CRM_TOKEN: ${PROD_CRM_TOKEN}
+      CRM_EMAIL: ${PROD_CRM_EMAIL}
+      CRM_PASSWORD: ${PROD_CRM_PASSWORD}
       NOTARY_INTERVAL: ${PROD_INTERVAL:-3600}
       NOTAR_EMAIL: ${NOTAR_EMAIL:-gegenbuch@localhost}
       # Nur beim allerersten Lauf einmalig auf true, danach wieder leeren:
@@ -46,7 +47,8 @@ services:
     environment:
       INSTANZ: staging
       CRM_URL: ${STAGING_CRM_URL}
-      CRM_TOKEN: ${STAGING_CRM_TOKEN}
+      CRM_EMAIL: ${STAGING_CRM_EMAIL}
+      CRM_PASSWORD: ${STAGING_CRM_PASSWORD}
       NOTARY_INTERVAL: ${STAGING_INTERVAL:-3600}
       NOTAR_EMAIL: ${NOTAR_EMAIL:-gegenbuch@localhost}
       NOTARY_GENESIS_ACK: ${STAGING_GENESIS_ACK:-}