Review-Batch P0: Sicherheit + Schueler-Ergebnisse + Assessments-Aufblaehung

Sicherheit:
- progress.php: IDOR geschlossen (student_id-Zweig verlangt Lehrer-Login + Klassenbesitz)
- licenses.php: ?admin=1 und generate nur noch fuer echten Admin; Collision-Retry mit Cap
- .htaccess: .env/.sh/.sql/.bak Deny (Defense-in-Depth)

Schueler-Ergebnisse (kritisch):
- sim-metrics.js + .ivm-CSS in schueler.html; renderOwnRunCard-Fallback zeigt jetzt
  Sterne + grafische Kennzahlen fuer die 9 bisher leeren Sims
- sim-metrics.js: klima final_budget als "Mio EUR" statt "EUR" (Faktor 10^6)

Skalierung:
- assessment.php: Zwischen-Pings (phase running/started) nicht mehr persistiert
- heli: 30-s-assessmentPing entfernt (Live-Zustand laeuft ueber Heartbeat)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

App/sims/heli/game.html

@@ -683,9 +683,9 @@ function assessmentStart() {
     duration: 0,
     completedPhases: [],
   });
-  // 30-s-Ping waehrend des Einsatzes
+  // Kein 30-s-Zwischen-Ping mehr an /assessment — der Live-Zustand läuft über
+  // den Heartbeat (live_sessions). Früher blähte das die assessments-Tabelle auf.
   if (heliAssessment.runTimer) clearInterval(heliAssessment.runTimer);
-  heliAssessment.runTimer = setInterval(assessmentPing, 30000);
 }
 function assessmentPing() {
   if (!heliAssessment.startMs || !game.mission) return;