v0.4.23 — Backup-Verschlüsselung

Backup-Verschlüsselung (AES-256-GCM, opt-in)

Backups können jetzt at-rest verschlüsselt werden. Gesetzt via AI_REM_BACKUP_KEY → Backups werden mit AES-256-GCM geschrieben (backup_<ts>.json.enc) und beim Download als verschlüsselter Blob ausgegeben — die Daten verlassen den Server nie im Klartext. Leer → Klartext wie bisher (rückwärtskompatibel).

• Key via scrypt aus der Passphrase abgeleitet, Salt+Nonce pro Datei neu.
• Restore erkennt verschlüsselte und Klartext-Backups automatisch.
• Schlüssel-Quelle: mykeyvault (ai-rem-backup-key), via deploy.sh in die .env.
• ⚠️ Geht die Passphrase verloren, sind verschlüsselte Backups nicht mehr wiederherstellbar.

Schließt #31.