Add pillar articles: parental controls guide + layers of protection (EN/DE/FR)

Two more evergreen parent-intent pillars:
- Parental controls 2026 practical guide: layered comparison of Screen
  Time / Family Link / router DNS / VPN DNS with honest trade-offs
- Seven layers of online protection: ISP → router → VPN → OS → OS
  plugins → browser plugins → in-app, framing VPN as the load-bearing
  layer that travels with the device

All three languages share translationKey for hreflang.

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>

content/de/elternkontrolle-2026-praxisleitfaden.md

@@ -0,0 +1,82 @@
+---
+title: "Elternkontrolle 2026: Ein Praxisleitfaden, der tatsächlich funktioniert"
+date: 2026-04-14
+description: "Ein ehrlicher Vergleich von iOS-Bildschirmzeit, Family Link, Router-Filter und DNS-basierter VPN-Filterung — was jedes Werkzeug gut kann, und wie man sie kombiniert."
+tags: ["Elternkontrolle", "Bildschirmzeit", "Family Link", "DNS-Filter", "Router", "VPN", "Familie"]
+categories: ["sicherheit"]
+author: "Agiliton"
+slug: "elternkontrolle-2026-praxisleitfaden"
+translationKey: "parental-controls-2026"
+---
+
+Es gibt keine einzelne „Elternkontrolle", die einfach funktioniert. Jede Familie lernt das früher oder später gleich: Bildschirmzeit auf dem iPad einrichten, und der Zehnjährige hebelt sie am selben Nachmittag aus. Die bessere Antwort ist kein anderes Produkt, sondern ein mehrschichtiges Setup, das jedes Werkzeug auf seine Stärken ausspielt.
+
+Dieser Leitfaden vergleicht die vier Werkzeuge, zu denen die meisten Familien Zugang haben, zeigt, was jedes gut kann, und wie sie sich kombinieren lassen.
+
+## Die vier Werkzeuge, die zählen
+
+**1. iOS-Bildschirmzeit.** Auf jedem iPhone und iPad eingebaut. Stark bei App-Zeitlimits, Inhaltsfreigaben, Kommunikationsbeschränkungen und App-Store-Freigaben. Schwach bei allem Webbasierten — der Safari-Inhaltsfilter ist grob, und ein entschlossenes Kind installiert einen Zweitbrowser, nutzt ein VPN oder öffnet die Seite in der App-Store-Vorschau.
+
+**2. Google Family Link (Android).** Ähnlich zur Bildschirmzeit. Stark bei App-Freigaben, Play-Store-Kontrollen, Tageslimits und Standort. Schwach im Web und nicht verfügbar auf iOS.
+
+**3. Router-Filter.** DNS-Blocklisten oder Inhaltsfilter auf dem heimischen WLAN. Gut, weil jedes Gerät im Heimnetzwerk abgedeckt wird — inklusive Besucher-Geräten und Smart-TV. Nutzlos, sobald das Gerät das Haus verlässt, und nutzlos im Mobilfunknetz.
+
+**4. VPN-basierte DNS-Filterung.** Ein Tunnel pro Gerät, der denselben DNS-Filter überall anwendet — zu Hause, im Mobilfunknetz, im Schul-WLAN, im Urlaub. Das ist das Teil, das die meisten Familien vergessen. Es ist auch das einzige, das mit dem Gerät mitreist.
+
+## Ehrlicher Vergleich
+
+| Fähigkeit | iOS Bildschirmzeit | Family Link | Router-DNS | VPN-DNS (z. B. Agiliton) |
+|---|---|---|---|---|
+| App-Installationsfreigabe | ✅ | ✅ | ❌ | ❌ |
+| Tägliche App-Zeitlimits | ✅ | ✅ | ❌ | ❌ |
+| Kategorie-Filter (Web + App) | Teilweise | Teilweise | ✅ | ✅ |
+| Wirkt außerhalb des Heim-WLAN | ✅ | ✅ | ❌ | ✅ |
+| Wirkt im Schul-/Besucher-WLAN | ✅ | ✅ | ❌ | ✅ |
+| Blockiert Tracker & Werbung | ❌ | ❌ | Teilweise | ✅ |
+| Wirkt auf Smart-TV / Apple TV | ❌ | ❌ | ✅ | ✅ (Apple TV) |
+| Vom Kind deaktivierbar | Mit dem Code | Mit dem Code | Nein | Nein (im Kind-Modus) |
+
+Keine Zeile wird von einem einzigen Werkzeug allein gewonnen. Die sinnvolle Frage lautet: Welche Kombination fährt man?
+
+## Unsere Empfehlung
+
+Für eine Familie mit Kindern zwischen 6 und 15 Jahren ist dies das Setup, das in der Praxis funktioniert:
+
+**Schicht 1 — Geräte-Konten (iOS-Bildschirmzeit oder Family Link).** Richten Sie ein echtes Kinderkonto ein: korrektes Geburtsdatum, altersgerechte Inhaltsfreigabe, Pflicht-Freigabe für jede Installation, tägliche App-Zeitlimits je Kategorie, Ruhezeiten für Schule und Schlaf. Das zuerst. Auslassen Sie es nicht, auch wenn Sie weitere Schichten hinzufügen.
+
+**Schicht 2 — DNS-Filterung, die mit dem Gerät mitreist.** Hier passt Agiliton VPN. Auf Handy, Tablet und Laptop Ihres Kindes installieren, **Kind**-Profil aktivieren. Unabhängig vom WLAN sind damit Kategorien wie Erwachseneninhalte, Social Media, Glücksspiel und Dating auf DNS-Ebene blockiert — auch TikToks Web-Version, die die iOS-Bildschirmzeit nicht erfasst. Im Kind-Modus kann das VPN nicht deaktiviert werden.
+
+**Schicht 3 — Heim-WLAN-Einstellungen.** Falls Ihr Router das unterstützt (die meisten modernen Mesh-Systeme tun das), stellen Sie ein familienfreundliches DNS im Heimnetz ein. Damit sind Besucher-Geräte, Smart-TV und Konsolen abgedeckt, solange sie im Haus sind. Cloudflare `1.1.1.3` (Family Filter) oder NextDNS mit einem Familienprofil sind beide in Ordnung.
+
+**Schicht 4 — Das Gespräch, alle sechs Monate.** Nichts davon ersetzt das Gespräch mit Ihrem Kind über das, was es online sieht. Kontrollen kaufen Zeit; Medienkompetenz ist das Langspiel.
+
+## Warum DNS-Filterung die fehlende Schicht ist
+
+Die meisten Eltern richten iOS-Bildschirmzeit ein, fühlen sich abgesichert — und bemerken nicht, dass die Bildschirmzeit keinen nennenswerten Web-Kategoriefilter hat. Safaris „Erwachseneninhalte beschränken" ist eine winzige Liste, leicht zu umgehen durch Direkt-Eingabe einer IP, einen anderen Browser als Web-Clip oder den integrierten Browser im App Store.
+
+DNS-Filterung schließt diese Lücke. Wenn das Gerät eines Kindes versucht, `tiktok.com`, `pornhub.com` oder `bet365.com` aufzulösen, kommt keine Antwort zurück — weder App noch Browser haben eine Adresse, zu der sie sich verbinden könnten. Egal welcher Browser, welches VPN, welches Konto: Die Adresse existiert auf diesem Gerät schlicht nicht.
+
+Das **Kind**-Profil von Agiliton VPN macht das von Haus aus. Unsere kuratierte Blockliste kombiniert:
+
+- **HaGeZi Multi** für Werbung, Tracker, Malware und Phishing
+- **OISD** als reputationsbasierte Liste mit wenigen Falschtreffern
+- **Eine Cloudflare-Top-10k-Allowlist**, damit die meistbesuchten Seiten zuverlässig erreichbar bleiben
+- **Kategorie-Ebenen**: Social Media, Erwachseneninhalte, Glücksspiel, Dating und Gaming — je Profil einzeln schaltbar
+
+Wir reduzieren die rohen Upstream-Listen auf rund 15.000-30.000 Einträge, optimiert für deutschen und europäischen Datenverkehr, weil kleinere Listen auf Mobilgeräten schneller sind und weniger deutsche Nischenseiten versehentlich blockieren.
+
+## Häufige Fehler
+
+- **Den Bildschirmzeit-Code „nur für die Hausaufgaben" herausgeben.** Sobald er die Hand verlässt, ist er kompromittiert — zurücksetzen.
+- **Family Link auf einem gebrauchten Android-Gerät ohne Werksreset.** Die Aufsicht des Vorbesitzers kann bestehen bleiben — oder, schlimmer, Family Link läuft trotz Anschein gar nicht.
+- **Nur Router-Filter.** Schützt das Haus, versagt bei Mobilfunk und Besucher-WLAN.
+- **Nur VPN.** Begrenzt nicht die Zeit in den Apps, die erlaubt *sind*. Gerät-Limits bleiben nötig.
+- **Kein Gespräch.** Produziert heimliche, nicht sichere Teenager.
+
+## Weiterführende Artikel
+
+- [Ist TikTok sicher für mein Kind?](/de/ist-tiktok-sicher-fuer-kinder/)
+- [Sichere Suche und Inhaltsfilter: Was 2026 wirklich funktioniert](/de/sichere-suche-inhaltsfilter-2026/)
+- [Roblox, Fortnite, Discord: Altersfreigaben und echte Risiken](/de/roblox-fortnite-discord-altersfreigabe-risiken/)
+
+{{< vpn-cta >}}

content/de/schutzschichten-online-warum-vpn-unverzichtbar-ist.md

@@ -0,0 +1,152 @@
+---
+title: "Die sieben Schutzschichten im Netz — und warum das VPN die ist, die Sie nicht auslassen dürfen"
+date: 2026-04-14
+description: "Vom Internetanbieter bis zu den Einstellungen in der einzelnen App — es gibt sieben Schichten, auf denen sich die Online-Sicherheit eines Kindes durchsetzen lässt. Hier steht, was jede leistet, was sie verpasst, und warum ein Familien-VPN die Schicht ist, die die anderen zusammenhält."
+tags: ["Elternkontrolle", "VPN", "DNS-Filter", "Router", "Browser-Plugins", "Bildschirmzeit", "mehrschichtiger Schutz"]
+categories: ["sicherheit"]
+author: "Agiliton"
+slug: "schutzschichten-online-warum-vpn-unverzichtbar-ist"
+translationKey: "layers-of-protection"
+---
+
+Online-Sicherheit ist kein einzelner Schalter. Sie ist ein Stapel aus sieben Schichten, von denen jede etwas abdeckt, was die anderen nicht abdecken. Wenn Eltern scheitern, liegt es fast immer daran, dass sie ein oder zwei Schichten eingerichtet haben und angenommen haben, das reicht. Es reicht nie.
+
+Dieser Artikel führt alle sieben Schichten durch — vom Internetanbieter bis zu den Einstellungen innerhalb einzelner Apps — erklärt, was jede tatsächlich blockiert, und zeigt, warum ein Familien-VPN die Schicht ist, die verhindert, dass die anderen leck werden.
+
+## Schicht 1 — Der Internetanbieter
+
+Ihr Provider (Telekom, Vodafone, 1&1, O2) sitzt zwischen Ihrem Haus und dem übrigen Internet. Die meisten großen Anbieter bieten im Kundenportal eine Option „Familienfilter" oder „sicheres Surfen".
+
+**Was es leistet:** DNS-Kategoriefilterung auf Ihrem Heim-Anschluss.
+
+**Was es verpasst:**
+- Nur dieser eine Anschluss — kein Mobilfunk, kein Besuch bei Freunden.
+- Die meisten Anbieterfilter sind grob, werden selten aktualisiert und lassen sich durch Wechsel auf `8.8.8.8` leicht umgehen.
+- Auf Mobilfunk wird nichts blockiert, selbst wenn das Telefon zum Haushalt gehört.
+
+**Fazit:** Einschalten, wenn vorhanden. Nicht darauf verlassen.
+
+## Schicht 2 — Der Router
+
+Ihr Heim-Router ist das erste Gerät, durch das jedes andere Gerät muss. Moderne Router (FRITZ!Box, AVM, eero, ASUS) erlauben eigene DNS-Server — etwa Cloudflare `1.1.1.3`, NextDNS oder Quad9 — und einige sogar unterschiedliche Regeln je Gerät.
+
+**Was er leistet:** DNS-Filterung für jedes Gerät im Heim-WLAN, inklusive Smart-TV, Konsolen und Besucher-Handys.
+
+**Was er verpasst:**
+- Verlässt mit dem Gerät das Haus — Mobilfunk, Schul-WLAN, Café: alles ungefiltert.
+- Ein Kind, das eine VPN-App installiert oder das DNS am Gerät ändert, umgeht den Router komplett.
+- Keine Regeln je Nutzer, wenn das WLAN dieselbe SSID für alle benutzt.
+
+**Fazit:** Unverzichtbar für den Heim-Baseline. Kann Mobilgeräte außer Haus nicht schützen.
+
+## Schicht 3 — Das VPN mit DNS-Filterung (die, die Sie nicht auslassen dürfen)
+
+Ein VPN, das auf dem Gerät des Kindes installiert ist, leitet den gesamten Verkehr durch einen Filter, der mit dem Gerät mitreist — zu Hause, im Mobilfunk, im Schul-WLAN, im Urlaub. Das ist die Schicht, die die anderen tatsächlich zusammenhält.
+
+**Was es leistet:**
+- Wendet dieselbe kuratierte DNS-Blockliste in jedem Netzwerk an, mit dem sich das Gerät verbindet.
+- Blockiert Werbung, Tracker, Malware, Phishing und — entscheidend — ganze Inhaltskategorien (Social Media, Erwachseneninhalte, Glücksspiel, Dating, Gaming).
+- In einem abgeschlossenen Kind-Profil vom Kind nicht deaktivierbar.
+- Wirkt unabhängig vom Browser, unabhängig von der App, unabhängig davon, mit welchem Konto das Kind sich anmeldet.
+
+**Was es verpasst:**
+- Begrenzt nicht die Zeit in Apps, die erlaubt sind. Bildschirmzeit / Family Link bleibt dafür nötig.
+- Kann keine „Schlafenszeit"-Fenster erzwingen — das ist Aufgabe des Betriebssystems.
+
+**Warum diese Schicht mehr zählt als die anderen:** Jede Schicht darüber stoppt entweder an der Haustür (Router, Provider) oder lässt sich am Gerät trivial umgehen (OS-Filter, Browser-Plugins). Das VPN ist die einzige Schicht, die mitreist, an bleibt und von einem entschlossenen Kind nicht abgeschaltet werden kann. Deshalb nennen wir es die Schicht, die Sie nicht auslassen dürfen.
+
+Unser eigenes Produkt, [Agiliton VPN](https://go.agiliton.eu/vpn-app), ist genau auf diese Rolle zugeschnitten — ein gerätegebundener, dauerhaft aktiver Filter mit **Kind (0-12)**- und **Teen (13-17)**-Profilen, die altersgerechte Kategorien standardmäßig blockieren.
+
+## Schicht 4 — Das Betriebssystem
+
+iOS, Android, Windows und macOS bieten alle systemweite Elternkontrollen: iOS **Bildschirmzeit**, Google **Family Link**, Windows **Family Safety**, macOS **Bildschirmzeit**.
+
+**Was sie leisten:**
+- App-Installationen freigeben
+- Tägliche Zeit je App oder Kategorie begrenzen
+- Kommunikation einschränken (wer darf anrufen, schreiben, FaceTimen)
+- Ruhezeiten erzwingen (z. B. keine Apps zwischen 22:00 und 07:00)
+- In-App-Käufe blockieren
+
+**Was sie verpassen:**
+- Web-Filterung ist schwach. Safaris „Erwachseneninhalte beschränken" ist eine winzige, leicht umgangene Liste.
+- Keine Kontrolle über Netzwerkverkehr — Anfragen einer App an einen Tracker oder Social-Media-CDN sieht das OS nicht.
+- Ein Kind mit dem Code kann alles ändern. Viele Eltern geben ihn unbewusst heraus.
+
+**Fazit:** Pflicht für tägliche Limits und Ruhezeiten. Unbrauchbar für Kategorie-Filter.
+
+## Schicht 5 — OS-Plugins und DNS-Profile
+
+Auf iOS lässt sich ein DNS-Konfigurationsprofil installieren (NextDNS, CleanBrowsing, Agiliton VPN wirkt ähnlich). Auf Android setzt man „Privates DNS" in den OS-Einstellungen. Das wirkt auf OS-Ebene ohne vollen VPN-Tunnel.
+
+**Was es leistet:** Leichtgewichtige DNS-Filterung ohne VPN-Tunnel. Gilt für alle Apps.
+
+**Was es verpasst:**
+- Oft trivial entfernbar von einem Kind, das weiß, wo es nachschaut.
+- Reine DNS-Profile verschlüsseln nicht — manche Netzwerke (vor allem Schulen) überschreiben sie.
+- Keine Profilauswahl nach Rolle (Kind vs. Teen) — eine Einstellung für alle.
+
+**Fazit:** Gut für Eltern, die eine leichte Lösung wollen und ihrem Kind vertrauen. Für jüngere Kinder nicht robust genug.
+
+## Schicht 6 — Browser-Plugins
+
+Erweiterungen wie uBlock Origin, Privacy Badger oder schulische Inhaltsfilter laufen innerhalb des Browsers.
+
+**Was sie leisten:** Werbung, Tracker oder gelistete Domains innerhalb dieses einen Browsers blockieren.
+
+**Was sie verpassen:**
+- Wirken nur in dem Browser, in dem sie installiert sind. Ein anderer Browser umgeht sie.
+- Wirken nicht in Apps (TikTok, Instagram, Roblox laufen außerhalb des Browsers).
+- Auf Mobilgeräten ist der Support begrenzt (iOS-Safari hat wenige, Chrome Android fast keine).
+
+**Fazit:** Sinnvolle Ergänzung für Desktop-Browsing. Als primäre Kinderschutz-Schicht nahezu unbrauchbar.
+
+## Schicht 7 — In-App-Einstellungen
+
+Jede ernstzunehmende App hat eigene Jugendschutz-Einstellungen: TikTok Family Pairing, Instagram Elternaufsicht, YouTube Kids, Roblox-Kontobeschränkungen, Discords „Safe Messaging"-Vorgaben.
+
+**Was sie leisten:** App-spezifische Absicherungen — eingeschränkte Inhaltsmodi, Kommunikationslimits, Bildschirmzeit-Hinweise innerhalb der App.
+
+**Was sie verpassen:**
+- Setzen voraus, dass das Kind in dieser App ein Konto mit korrektem Alter hat — was Kinder, wie in [unserem TikTok-Leitfaden](/de/ist-tiktok-sicher-fuer-kinder/) beschrieben, regelmäßig fälschen.
+- Wirken nur in dieser App. Ein Zweitkonto, eine andere App oder die Web-Version umgeht sie.
+- Werden häufig umgestaltet; was letztes Jahr schützte, ist vielleicht still entfernt worden.
+
+**Fazit:** Für jede vom Kind genutzte App konfigurieren. Nie eine primäre Schicht.
+
+## Warum das VPN die tragende Schicht ist
+
+Schauen Sie sich an, was jede Schicht abdeckt:
+
+| Schicht | Heim-WLAN | Mobilfunk | Schul-WLAN | Besucher-WLAN | App-Verkehr | Vom Kind umgehbar |
+|---|---|---|---|---|---|---|
+| Provider-Filter | ✅ | ❌ | ❌ | ❌ | ✅ | Trivial |
+| Router-DNS | ✅ | ❌ | ❌ | ❌ | ✅ | Mit Aufwand |
+| **VPN-DNS (Kind-Modus)** | ✅ | ✅ | ✅ | ✅ | ✅ | **Nein** |
+| OS-Elternkontrollen | ✅ | ✅ | ✅ | ✅ | Teilweise | Mit Code |
+| OS-DNS-Profil | ✅ | ✅ | ✅ | ✅ | ✅ | Oft |
+| Browser-Plugin | Nur Browser | Nur Browser | Nur Browser | Nur Browser | ❌ | Leicht |
+| In-App | In der App | In der App | In der App | In der App | In der App | Über falsches Alter |
+
+Das VPN im Kind-Modus ist die einzige Zeile mit einem Haken in jeder Spalte und „Nein" bei der Umgehbarkeit. Nimmt man es weg, deckt plötzlich keine Schicht mehr Mobilfunk, Schul-WLAN oder Kategorie-Filter innerhalb von Apps ab.
+
+Das ist kein Marketing. Das ist das, was die Schicht-Skizze zeigt, wenn man sie ehrlich zeichnet.
+
+## Unser empfohlener Stapel
+
+Für eine Familie mit Kindern unter 16 betreiben Sie die Schichten **2 + 3 + 4 + 7**:
+
+1. **Router-DNS** (Schicht 2) — Heim-Baseline
+2. **Familien-VPN mit Kind-Profil** (Schicht 3) — der immer-an Filter, der mitreist
+3. **OS-Elternkontrollen** (Schicht 4) — App-Freigabe, Zeitlimits, Ruhezeiten
+4. **In-App-Einstellungen** (Schicht 7) — je App konfigurieren
+
+Schichten 1, 5 und 6 sind entweder redundant oder nicht tragend; auslassen, außer Sie brauchen sie gezielt.
+
+## Weiterführende Artikel
+
+- [Elternkontrolle 2026: Ein Praxisleitfaden](/de/elternkontrolle-2026-praxisleitfaden/)
+- [Ist TikTok sicher für mein Kind?](/de/ist-tiktok-sicher-fuer-kinder/)
+- [Sichere Suche und Inhaltsfilter: Was 2026 wirklich funktioniert](/de/sichere-suche-inhaltsfilter-2026/)
+
+{{< vpn-cta >}}