Beispiel, um das trivial zu umgehen: proxy der die Tags umschreibt. Kann auch lokal in Software laufen. Schon ists für nichts

Aber genauso kannst du auch proxies aufsetzen, die mithilfe von geklauten Zertifikatsdateien Tokens ausstellt.

Leider nicht, nur für einen kleinen Teil der Geräte, und auch da ist sie oft mehr als lückenhaft

Die allermeisten Geräte, die von Kindern genutzt werden, haben bereits Kindersicherungen implementiert. Die können erweitert werden. Und wenn du deinem Sohn unbedingt eine BSD Box hinsetzen willst, dann kannst du im gleichen Atemzug auch ein PiHole aufsetzen, dass dann garantiert auch Jugendschutzlisten führen wird.