feat: add database indexes, implement CORS configuration, and lazy-load frontend routes

.env.example

@@ -44,3 +44,9 @@ VITE_API_URL=
 # Platzhalter {Jahr} wird zur Laufzeit durch das Jahr des Eingangsdatums ersetzt
 BELEGNUMMER_GET_URL=https://beispiel-api.de/get-number/{Jahr}
 BELEGNUMMER_SET_URL=https://beispiel-api.de/set-number/{Jahr}/{Nummer}
+
+# --- CORS ---
+# Erlaubte Frontend-Origin für CORS. In Produktion PFLICHT (z.B. https://paperless.example.com).
+# Leer lassen für lokale Entwicklung (erlaubt alle Origins).
+# NODE_ENV=production ohne CORS_ORIGIN blockiert alle Cross-Origin-Anfragen.
+CORS_ORIGIN=