Document remote frontend integration

ADMIN-Backend.md

@@ -183,6 +183,23 @@ curl -s http://localhost:8080/metrics
 # ReDoc: http://localhost:8080/redoc
 ```
 
+### 2.7 Getrenntes Frontend-Deployment
+
+Das NSCT-Frontend darf auf einem anderen Rechner als dieser Backend-Stack laufen.
+Es benötigt kein gemeinsames Docker-Netzwerk: Der Frontend-Caddy proxyt `/api/*`
+an den in seinem `.env` gesetzten Backend-Host.
+
+```env
+# im Frontend-Repository, ohne URL-Schema und ohne Pfad
+NSCT_API_UPSTREAM=backend.example.com:8080
+```
+
+Erlaube am Backend-Port 8080 nur die IP bzw. das Netz des Frontend-Rechners und
+prüfe die Erreichbarkeit von dort mit `curl http://backend.example.com:8080/health`.
+Über nicht vertrauenswürdige Netze ist TLS, ein VPN oder ein zusätzlicher Reverse
+Proxy erforderlich. Browser greifen dabei nicht direkt auf das Backend zu; CORS
+für die Browser-Origin ist daher nicht erforderlich.
+
 ---
 
 ## 3. PostgreSQL Setup
@@ -1211,4 +1228,4 @@ docker compose exec postgres pg_restore ...
 # Monitoring
 docker stats                           # Resource Usage
 docker compose ps                      # Container Status
-```
+```