Security: VAPID-Keys raus aus Git, Dockerfile USER appuser, SW by-v1116

1. VAPID-Keys aus docker-compose.yml und docker-compose.staging.yml
   entfernt. Werden jetzt aus .env gelesen (env_file war schon da,
   nur die environment-Override hat die .env-Werte überschrieben).
   .env auf DS um die 3 Keys ergänzt:
   - VAPID_PUBLIC_KEY, VAPID_PRIVATE_KEY, VAPID_CONTACT
   Erst Compose-Änderung wirksam — Push-Notifications funktionieren
   weiter weil die .env die Werte liefert.

2. Dockerfile-Hardening: Non-root USER appuser.
   - groupadd/useradd appuser (UID/GID 1000 für DS-Kompatibilität)
   - chown -R appuser:appuser /app /data nach mkdir
   - USER appuser vor CMD
   Memory says DSM ACLs könnten Probleme machen. Falls Container
   nicht startet → Rückbau. Bei Deploy genau hinsehen.

3. E-Mail-Änderungs-Audit-Punkt: kein Vulnerability gefunden.
   ProfileUpdate-Schema enthält kein 'email'-Feld. User können
   ihre E-Mail-Adresse aktuell gar nicht ändern → kein Takeover-
   Vektor wie im Audit vermutet.

Dockerfile

@@ -8,6 +8,11 @@ RUN apt-get update && apt-get install -y --no-install-recommends \
     ffmpeg \
     && rm -rf /var/lib/apt/lists/*
 
+# Non-root User für Container-Hardening
+# (Synology DSM-Volumes haben ACLs — daher chown auf /data + /app)
+RUN groupadd -r appuser -g 1000 && \
+    useradd -r -u 1000 -g appuser -d /app -s /sbin/nologin appuser
+
 # Python-Dependencies zuerst (Docker Layer Cache)
 COPY backend/requirements.txt .
 RUN pip install --no-cache-dir -r requirements.txt
@@ -18,9 +23,12 @@ COPY backend/ .
 # Zentrale Version (wird von main.py beim Startup gelesen)
 COPY VERSION /app/VERSION
 
-# Media-Verzeichnis
+# Media-Verzeichnis + Permissions
 RUN mkdir -p /data/media/dogs /data/media/diary /data/media/poison \
-             /data/media/breeds/gallery /data/media/breeds/submissions
+             /data/media/breeds/gallery /data/media/breeds/submissions && \
+    chown -R appuser:appuser /app /data
+
+USER appuser
 
 EXPOSE 8000