feat(deploy): Standalone-Compose mit Host-Netzwerk für LXC und Traefik auf anderem Server

- docker-compose.standalone.yml: Build und Betrieb im Host-Netzwerk (Docker in unprivilegiertem
  LXC hat kein NAT für Bridge-Netze), Dienste über 127.0.0.1, Postgres nur lokal
- TRUST_PROXY akzeptiert die IP(s) des Reverse Proxys statt nur true/false
- Doku: Traefik-Datei-Konfiguration, Proxmox-Firewall, Ressourcen

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

deploy/.env.example

@@ -25,6 +25,8 @@ PUBLIC_ORIGIN=https://stats.example.de
 #   openssl rand -hex 32
 INGEST_HMAC_SECRET=
 SERVER_ID=atm10
+# IP des Reverse Proxys (Traefik), der X-Forwarded-For setzen darf; mehrere kommagetrennt, auch CIDR.
+# "true" nur, wenn die API ausschließlich über Traefik erreichbar ist (Compose mit Traefik-Labels).
 TRUST_PROXY=true
 TIMEZONE=Europe/Berlin
 LOG_LEVEL=info