fix: Login schlägt fehl bei HTTP ohne Reverse Proxy (Secure-Cookie)

SESSION_SECURE=false in .env deaktiviert das Secure-Flag für Session-
und CSRF-Cookie. Notwendig wenn die App direkt per HTTP erreichbar ist
(kein Nginx/HTTPS davor). Standard bleibt secure=true in production.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

.env.example

@@ -7,6 +7,7 @@ NODE_ENV=production
 
 # Session
 SESSION_SECRET=HIER_EINEN_LANGEN_ZUFAELLIGEN_STRING_EINTRAGEN
+# SESSION_SECURE=false   # Nur setzen wenn kein HTTPS/Reverse Proxy (z.B. direktes localhost)
 
 # Datenbank (SQLite/SQLCipher)
 DB_PATH=/data/oikos.db