feat: User-Berechtigungen für Agent-Erstellung und CLI-Nutzung

- Neue Felder CanCreateAgents und CanUseCli im UserRecord (Default: true)
- DB-Migration mit Abwärtskompatibilität (bestehende User behalten alle Rechte)
- Admin-UI: Checkboxen für beide Berechtigungen pro User
- AgentEndpoint: Prüfung auf CanCreateAgents beim Erstellen
- ChatEndpoint: CLI-Fallback nur wenn CanUseCli erlaubt
- Frontend: Neuer-Agent-Button und Agent-Page bei fehlender Berechtigung gesperrt
- Chat: Proaktive Warnung wenn kein API-Key und keine CLI-Berechtigung
- Bug Fix: is_public fehlte im Agent-INSERT (Public Agents erst nach erneutem Speichern sichtbar)

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

Services/DatabaseService.cs

@@ -367,6 +367,10 @@ public partial class DatabaseService
         // users: ausgewählter API-Key (legacy, wird durch agent_api_keys ersetzt)
         TryAddColumn(conn, "users", "selected_api_key_id", "TEXT");
 
+        // users: Berechtigungen (Default: true für Abwärtskompatibilität)
+        TryAddColumn(conn, "users", "can_create_agents", "INTEGER NOT NULL DEFAULT 1");
+        TryAddColumn(conn, "users", "can_use_cli", "INTEGER NOT NULL DEFAULT 1");
+
         conn.Execute(@"
             CREATE TABLE IF NOT EXISTS agent_api_keys (
                 id        INTEGER PRIMARY KEY AUTOINCREMENT,