Schlüssel-Proxy, Server-Anforderungen und gitleaks-Regel für API-Werk

- tools/ki-proxy: setzt API-Schlüssel aus der Windows-Anmeldeinformationsverwaltung ein,
  nur im Speicher, ohne Header-Protokoll; Tests gegen Platzhalter-Server
- docs/server-anforderungen.md für den ITM-Entwickler
- .gitleaks.toml erkennt zki_/zodl_/zocr_-Schlüssel
- CLAUDE.md, Plan, Tech-Stack: Schlüssel nie in .env, in der App verschlüsselt in der DB

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.gitleaks.toml

@@ -0,0 +1,11 @@
+# Eigene gitleaks-Regeln für KI-BauIN, zusätzlich zu den Standardregeln.
+title = "KI-BauIN"
+
+[extend]
+useDefault = true
+
+[[rules]]
+id = "api-werk-schluessel"
+description = "Schlüssel der KI-API von ITM (API-Werk): KI, OpenDataLoader, OCR"
+regex = '''\bz(?:ki|odl|ocr)_[A-Za-z0-9_\-]{12,}'''
+keywords = ["zki_", "zodl_", "zocr_"]