docs: Doku nach fuenf Runden aufraeumen

Nach dem Hin und Her um Profile, Ports und Escaping war Sediment
liegengeblieben:

- README: "Drei Adressen fuer drei Richtungen" stand zweimal; die
  Profil-Erklaerung war eine Chronik ("das war nicht immer so") statt
  einer Anleitung. Jetzt ein Absatz.
- .env.example (beide): der Office-Block begann mit einem Hinweis auf
  COMPOSE_PROFILES, den man nur braucht, wenn man selbst ein Profil
  anlegt - als erste Zeile eines Abschnitts unbrauchbar. Raus.
- TESTING: der grosse Office-Abschnitt behauptete noch "Getestet mit
  Collabora im Compose-Profil office" und pruefte "ohne --profile startet
  der Container nicht". Beides ueberholt.
- Umlaute vereinheitlicht (laeuft neben gehoert), $-Hinweis von vier auf
  zwei Zeilen.

Dazu zwei neue Zeilen in der Fehlertabelle des README: Container entsteht
gar nicht (Profil) und Container laeuft, aber kein Menuepunkt (leerer
OFFICE_PROVIDER oder falscher Port).

Geprueft: beide Compose-Dateien gueltig, jeder Schluessel aus dem Code
steht in deploy/.env.example, keine doppelten Absaetze mehr.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.env.example

@@ -14,11 +14,8 @@ DB_HOST=postgres
 DB_PORT=5432
 DB_NAME=aether
 DB_USER=aether
-# Jedes Zeichen erlaubt, auch % @ : / und Leerzeichen.
-# Ein $ im Wert wird von Docker Compose als Variable gelesen und schneidet
-# lautlos ab: geheim$wort kommt als geheim an. Als $$ schreiben oder den
-# ganzen Wert in 'einfache Anfuehrungszeichen' setzen. Ein \ hilft NICHT.
-# Im Container steht danach EIN $ – so gehoert es, angemeldet wird mit einem.
+# Jedes Zeichen erlaubt – nur ein $ muss $$ heißen oder der Wert in
+# 'einfache Anführungszeichen'. Sonst schneidet Compose lautlos ab. (README)
 DB_PASSWORD=
 
 # Verzeichnis auf dem Wirt. Nur lesend anfassen – zum Hineinlegen: WebDAV.
@@ -38,7 +35,7 @@ APP_BIND=127.0.0.1
 
 # ── Erster Start ──────────────────────────────────────────────────────────────
 # Legt den Admin an. Danach ADMIN_PASSWORD leeren.
-# Auch hier: ein $ muss $$ heissen (siehe DB_PASSWORD).
+# Auch hier: ein $ muss $$ heißen (siehe DB_PASSWORD).
 ADMIN_USERNAME=admin
 ADMIN_PASSWORD=
 
@@ -54,21 +51,19 @@ OIDC_REDIRECT_URL=https://cloud.example.com/api/v1/auth/oidc/callback
 OIDC_LINK_BY_USERNAME=false
 
 # ── Office (optional) ─────────────────────────────────────────────────────────
-# Nur noetig, wenn du dem Office-Dienst selbst ein `profiles:` gegeben hast.
-# Die Schnipsel im README haben keins und starten von allein.
-# COMPOSE_PROFILES=office
-# Leer = aus – auch wenn der Container laeuft. Schnipsel: README.md
+# Leer = aus, auch wenn ein Office-Container läuft.
+# Schnipsel für Collabora, OnlyOffice und Euro-Office: README.md
 OFFICE_PROVIDER=
-# Backend → Office. Der Port haengt vom Anbieter ab:
-#   Collabora              http://office:9980
-#   OnlyOffice/Euro-Office http://office        (lauschen auf 80)
+
+# Backend → Office. Port je nach Anbieter:
+#   Collabora               http://office:9980
+#   OnlyOffice/Euro-Office  http://office
 OFFICE_URL=http://office:9980
-# Browser → Office
+# Browser → Office. Deine Domain oder LAN-IP, nicht der Compose-Name.
 OFFICE_PUBLIC_URL=https://office.example.com
-# Office → Aether. NICHT localhost, NICHT der veröffentlichte Port.
+# Office → Aether. Weder localhost noch der veröffentlichte Port.
 OFFICE_WOPI_URL=http://app:8080
 # Gegen SSRF: was das Backend anfragen darf.
 OFFICE_ALLOWED_HOSTS=office
-# Nur fuer OnlyOffice/Euro-Office: gemeinsames Geheimnis, mind. 32 Zeichen.
-# openssl rand -hex 32   – Collabora braucht es nicht.
+# Nur OnlyOffice/Euro-Office, mind. 32 Zeichen: openssl rand -hex 32
 OFFICE_JWT_SECRET=