fix(auth): ChangePassword unterstützt jetzt DB-User — nicht nur Setup-Admin

Vorher hat ChangePassword das Passwort ausschließlich gegen den
setup-store-Admin geprüft und dort gespeichert. User die via
User-Management angelegt wurden, bekamen immer 401.

Fix: DB-Lookup via Users.FindByEmail, Verify + SetPassword im DB-Store.
Setup-Store-Admin bleibt synchron wenn die E-Mail übereinstimmt.
Fallback auf setup-store bleibt erhalten für Legacy-Installs (pre-DB).

Bonus: %m-Formatverb-Fehler im Scheduler-Alert-Text behoben.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

cmd/edgeguard-scheduler/main.go

@@ -41,7 +41,7 @@ import (
 	"git.netcell-it.de/projekte/edgeguard-native/internal/services/tlscerts"
 )
 
-var version = "1.1.124"
+var version = "1.1.125"
 
 const (
 	// renewTickInterval — how often we re-evaluate expiring certs.
@@ -441,7 +441,7 @@ func runMemoryCheck(ctx context.Context, a *alerts.Service, d *dedupe) {
 			"  • Unbound-Cache zu groß (rrset-cache-size in /etc/edgeguard/unbound/unbound.conf)\n"+
 			"  • Squid cache_mem zu groß (64 MB default)\n"+
 			"  • PostgreSQL shared_buffers (default ~128 MB)\n"+
-			"  • Prozesse prüfen: ps aux --sort=-%mem | head -10",
+			"  • Prozesse prüfen: ps aux --sort=-%%mem | head -10",
 		usedPct, usedGB, totalGB)
 	if _, err := a.Fire(ctx, "mem.high", sev, title, desc); err != nil {
 		slog.Warn("scheduler: memory-check alert fire failed", "error", err)