rename admin_key to steffen_key, add forgejo admin account step

- Rename SOPS key alias from generic admin_key to steffen_key in
  .sops.yaml and all docs (keys should identify the person, not a role)
- Add step 3.6 to first-install docs: create Forgejo admin account
  via CLI (required since DISABLE_REGISTRATION is enabled)
- Fix cryodev-pi_key comment naming in .sops.yaml

docs/getting-started/first-install.md

@@ -166,14 +166,14 @@ Auf dem **Entwicklungsrechner** den neuen Host-Key in `.sops.yaml` eintragen:
 
 ```yaml
 keys:
-  - &admin_key age1e8p...     # Dein lokaler Admin-Key
-  - &hostname_key age1abc...  # Key von Schritt 3.1
+  - &steffen_key age1e8p...          # steffen (lokal)
+  - &hostname_key age1abc...         # Key von Schritt 3.1
 
 creation_rules:
   - path_regex: hosts/<hostname>/secrets.yaml$
     key_groups:
       - age:
-          - *admin_key
+          - *steffen_key
           - *hostname_key
 ```
 
@@ -265,6 +265,23 @@ NIX_SSHOPTS="-p 2299" nixos-rebuild switch --flake .#<hostname> \
 
 Nach diesem Deploy laufen Headscale, Forgejo, Mailserver und Nginx.
 
+### 3.6 Forgejo Admin-Account erstellen
+
+Beim ersten Start hat Forgejo noch keine Benutzer. Admin-Account per CLI anlegen
+(auf dem **Server**):
+
+```bash
+sudo -u forgejo forgejo --config /var/lib/forgejo/custom/conf/app.ini \
+  admin user create \
+  --username <benutzername> \
+  --email <email>@<domain> \
+  --password <passwort> \
+  --admin
+```
+
+> **Hinweis:** Da `DISABLE_REGISTRATION = true` gesetzt ist, koennen neue Accounts
+> nur per CLI erstellt werden.
+
 ## Schritt 4: Restliche Secrets generieren und alle Services aktivieren
 
 Nachdem der Server mit Headscale und Forgejo laeuft: