KI-Backend: Authorization-Header-Fix + TODO-Ergänzungen (4.5.11-4.5.14)

Login funktionierte, aber jede authentifizierte Folgeanfrage (Guthaben, KI-Anfrage)
meldete fälschlich eine abgelaufene Anmeldung — viele Apache/PHP-FPM-Hosting-Setups
reichen den Authorization-Header standardmäßig nicht an PHP durch. .htaccess erzwingt
jetzt die Weiterleitung, db.php liest zusätzlich REDIRECT_HTTP_AUTHORIZATION/
getallheaders() als Fallback. AiBackendUrl auf die echte deployte Domain gesetzt.

TODO.md: KI-Unterstützung auch für Stundenplanung (4.5.11), Frage zu einem
console.claude.ai-Agent für Standardkontext vs. app-internem Standard-Prompt
(4.5.12/4.5.13), sowie ein Planungsdiff für KI-Vorschläge auf Feldebene statt
grober Neu/Geändert-Markierung (4.5.14).

ai-backend/README.md

@@ -78,6 +78,22 @@ curl http://localhost:8000/status.php -H "Authorization: Bearer <token aus login
 **Wichtig:** `AI_BACKEND_FAKE_PROVIDER` niemals auf dem produktiven Server setzen — sonst bekommt
 die App nur die feste Test-Antwort statt echter KI-Vorschläge.
 
+## Fehlerbehebung: "Anmeldung abgelaufen" direkt nach dem Anmelden
+
+Login funktioniert, aber jede Anfrage danach (Guthaben, KI-Anfrage) meldet sofort eine
+abgelaufene/ungültige Anmeldung? Typische Ursache: viele Apache/PHP-FPM-Hosting-Setups reichen
+den `Authorization`-Header standardmäßig gar nicht erst an PHP durch — `login.php` braucht ihn
+nicht, aber `status.php`/`plan.php` schon, und der kommt dort leer an.
+
+Dagegen sind bereits zwei Absicherungen eingebaut:
+- `.htaccess` erzwingt die Weiterleitung des Headers (`RewriteRule .* - [E=HTTP_AUTHORIZATION:%1]`).
+- `db.php` liest zusätzlich `REDIRECT_HTTP_AUTHORIZATION` und `getallheaders()` als Fallback.
+
+Falls es trotzdem weiter auftritt: `.htaccess`-Overrides sind auf manchem Hosting serverseitig
+deaktiviert (`AllowOverride None`), oder es läuft nginx statt Apache (dort gilt `.htaccess`
+grundsätzlich nicht) — dann hilft nur eine serverseitige Konfiguration durch den Hoster/Support
+(z.B. bei nginx ein `fastcgi_param HTTP_AUTHORIZATION $http_authorization;`).
+
 ## Was hiermit NICHT geprüft ist
 
 - Ob Anthropic zuverlässig valides JSON im erwarteten Schema liefert (reine Prompt-Qualitätsfrage,