Add optional app-level basic auth via env vars

WEB_README.md

@@ -42,12 +42,38 @@ Beispiel mit Uvicorn direkt:
 .venv/bin/python -m uvicorn web.app:app --host 0.0.0.0 --port 8000
 ```
 
+Optional mit App-Auth (zusätzliche Schutzschicht):
+```bash
+WEB_AUTH_USER=kalender WEB_AUTH_PASSWORD='StarkesPasswort' \
+.venv/bin/python -m uvicorn web.app:app --host 0.0.0.0 --port 8000
+```
+
 Empfohlen für Internet-Betrieb:
 - Uvicorn hinter Nginx
 - HTTPS aktivieren
 - Upload-Größenlimit setzen
 - Zugriff absichern (z. B. Basic Auth oder Login)
 
+## App-Auth (optional, zusätzlich zu Nginx)
+
+Wenn `WEB_AUTH_USER` und `WEB_AUTH_PASSWORD` gesetzt sind, schützt die App alle Endpunkte per HTTP Basic Auth.
+
+Linux/macOS Beispiel:
+```bash
+export WEB_AUTH_USER=kalender
+export WEB_AUTH_PASSWORD='StarkesPasswort'
+./start_web.sh
+```
+
+Windows (PowerShell) Beispiel:
+```powershell
+$env:WEB_AUTH_USER='kalender'
+$env:WEB_AUTH_PASSWORD='StarkesPasswort'
+./start_web.cmd
+```
+
+Hinweis: Für öffentlich erreichbare Server weiterhin Nginx + HTTPS verwenden.
+
 ## Öffentliches Deployment (HTTPS)
 
 Beispiel für Ubuntu-Server mit Domain `ics.example.de`.