feat: Passwortschutz im Server statt im Browser

Ohne gueltiges Passwort gibt der Server weder Seite noch Skript heraus.
Das Passwort kommt aus APP_PASSWORD; fehlt die Variable, startet der Server
absichtlich nicht. /healthz bleibt passwortfrei, damit die Ueberwachung den
geschuetzten Dienst nicht faelschlich fuer ausgefallen haelt.

.env.example

@@ -0,0 +1,3 @@
+# Passwort fuer den Zugang zur Seite. Der Server startet nicht ohne diesen Wert.
+# In den VCH-Einstellungen setzen, nicht hier eintragen.
+APP_PASSWORD=beispiel-passwort