V 2.2.0 Anmeldung per Passkey (WebAuthn)

Zusätzlich zu Benutzername/Passwort ist die Anmeldung per Passkey möglich
(Fingerabdruck, Gesichtserkennung, Geräte-PIN). Das Passwort bleibt als
Alternative bestehen.

- lib/webauthn.ts kapselt @simplewebauthn/server, RP-Config über
  RP_ID/RP_ORIGIN/RP_NAME, Challenge in kurzlebigem httpOnly-Cookie
- lib/passkeys.ts speichert Credentials je Benutzer in der MySQL-Tabelle
  passkeys und legt sie beim ersten Zugriff an
- API unter app/api/passkey/: register (Session nötig), authenticate
  (öffentlich, in proxy.ts von der Session-Pflicht ausgenommen), GET/DELETE
  zum Verwalten
- Neuer Tab "Einstellungen" zum Registrieren und Entfernen von Passkeys
- Button "Mit Passkey anmelden" auf der Login-Seite

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

README.md

@@ -16,6 +16,24 @@ Eine moderne Next.js-Anwendung zur Erfassung und Verwaltung von Gesundheitsdaten
 - ✅ **Responsive Design** mit Tailwind CSS
 - ✅ **TypeScript** für Type-Safety
 - ✅ **MySQL-Datenbankanbindung** (Docker-Container)
+- ✅ **Anmeldung per Passkey** (WebAuthn) alternativ zu Benutzername/Passwort
+
+## Anmeldung & Passkeys
+
+Benutzer und bcrypt-Passworthashes stehen in `AUTH_USERS`
+(Format `name:hash,name2:hash2`), die Session ist ein JWT-Cookie (`AUTH_SECRET`).
+
+Zusätzlich kann sich jeder Benutzer per **Passkey** anmelden (Fingerabdruck,
+Gesichtserkennung oder Geräte-PIN). Das Passwort bleibt als Alternative bestehen.
+
+- **Registrieren**: nach der Anmeldung im Tab *Einstellungen* → „Passkey hinzufügen".
+  Der Passkey wird dem angemeldeten Benutzer zugeordnet; mehrere Geräte sind möglich.
+- **Anmelden**: auf der Login-Seite „Mit Passkey anmelden".
+- **Speicherung**: Tabelle `passkeys` (siehe `create_table.sql`); sie wird beim ersten
+  Zugriff automatisch angelegt, falls der DB-Benutzer CREATE-Rechte hat.
+- **Konfiguration**: `RP_ID` (nur der Host), `RP_ORIGIN` (volle URL), `RP_NAME`.
+  Lokal sind `localhost` / `http://localhost:3000` voreingestellt.
+- **Wichtig**: WebAuthn funktioniert nur über **HTTPS** oder auf `localhost`.
 
 ## Technologie-Stack