Document remote frontend integration

DEPLOYMENT.md

@@ -91,6 +91,35 @@ curl http://localhost:8080/ready
 curl http://localhost:8080/providers
 ```
 
+### 4.3 Frontend auf einem separaten Rechner
+
+Der Backend-Stack und das NSCT-Frontend benötigen kein gemeinsames Docker-
+Netzwerk und können auf unterschiedlichen Rechnern laufen. Das Frontend stellt
+Browser-Anfragen an seinen Same-Origin-Pfad `/api/*`; sein Caddy-Proxy leitet
+diese an das Backend weiter.
+
+Auf dem **Frontend-Rechner** wird im Frontend-Repository konfiguriert:
+
+```env
+# Host:Port des Backend-Rechners, ohne http:// und ohne /api
+NSCT_API_UPSTREAM=backend.example.com:8080
+```
+
+Auf dem **Backend-Rechner** muss die API von diesem Host erreichbar sein:
+
+```bash
+# Vom Frontend-Rechner aus prüfen
+curl http://backend.example.com:8080/health
+```
+
+Die Firewall darf Port 8080 nur für die IP-Adresse oder das private Netz des
+Frontend-Rechners erlauben. Eine Freigabe für das gesamte Internet ist nicht
+empfohlen. Werden die Rechner über ein öffentliches oder nicht vertrauenswürdiges
+Netz verbunden, verwende TLS, ein VPN oder einen abgesicherten Reverse Proxy
+zwischen Frontend und Backend. Da der Browser ausschließlich mit der
+Frontend-Domain kommuniziert, ist keine CORS-Freigabe des Backends für Browser-
+Clients nötig.
+
 ### 4.3 Logs
 
 ```bash
@@ -221,4 +250,4 @@ docker push your-registry/nsct:latest
 - [ ] Logging zu externem System (ELK, Grafana, etc.)
 - [ ] Backup-Policy für PostgreSQL Volume
 - [ ] Network Policies für Docker
-- [ ] Monitoring Alerts (Prometheus + Alertmanager)
+- [ ] Monitoring Alerts (Prometheus + Alertmanager)