Finalize family onboarding before invitation

Set status to final pre-invitation, soften the 2FA section to
app-specific 2FA (no SSO promise while Authelia-OIDC stays parked),
add a 'bewusst nicht versprochen' block (no single sign-on, no
24/7 SLA, no hotline support, no data sharing), and refine the
2FA loss guidance.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

docs/FAMILY_ONBOARDING.md

@@ -1,10 +1,10 @@
 # Familien-Willkommen - KalliLab CORE
 
-Status: Entwurf 2026-05-26. Zielgruppe: Familie. Kein Technik-Wortschatz noetig.
+Status: **Final-Stand vor Wochenend-Einladung** (2026-05-27). Zielgruppe: Familie. Kein Technik-Wortschatz noetig.
 
-Diese Seite richtet sich an alle, die zuhause unsere eigenen Apps nutzen wollen. Du brauchst kein Technikwissen. Wenn etwas unklar ist, frag Michi.
+Diese Seite richtet sich an alle, die zuhause unsere eigenen Apps nutzen. Du brauchst kein Technikwissen. Wenn etwas unklar ist: einfach Michi fragen.
 
-Wir laden die Familie am Wochenende ein, sobald alles fertig ist. Bis dahin ist diese Seite **Entwurf** — Details koennen sich noch aendern.
+Du musst nichts auswendig lernen. Wenn du nur eine Sache aus dieser Seite mitnimmst: **Passwoerter gehoeren in Vaultwarden, nicht auf Zettel und nicht in den Browser.**
 
 ---
 
@@ -37,7 +37,10 @@ Beim ersten Mal bekommst du von Michi:
 
 - deinen Benutzernamen (in der Regel dein Vorname klein geschrieben)
 - ein Start-Passwort, das du beim ersten Login aenderst
-- bei einigen Apps spaeter zusaetzlich einen **Zweitfaktor** (eine kleine 6-stellige Zahl aus einer App)
+
+Wenn eine App selbst einen **Zweitfaktor** anbietet (zum Beispiel Nextcloud), bekommst du dafuer am Anfang gemeinsam mit Michi eine kleine Authentifizierungs-App eingerichtet. Das ist eine extra Schicht: zusaetzlich zum Passwort tippst du beim Login eine 6-stellige Zahl aus dieser App ein.
+
+> Hinweis: Ein **einheitliches 2FA fuer alle Apps gleichzeitig** ist noch nicht eingerichtet. Aktuell hat jede App ihre eigene Anmeldung. Das bleibt erst einmal so. Wenn sich da etwas aendert, sagt Michi rechtzeitig Bescheid.
 
 **Bitte:**
 
@@ -76,8 +79,9 @@ Das ist die App, die deinen Eltern wahrscheinlich am meisten bringt.
 
 ### "Ich habe mein 2FA verloren (neues Handy, App geloescht)."
 
-- Michi schreiben. Er kann den Zweitfaktor zuruecksetzen, sobald er dich persoenlich identifiziert.
+- Michi schreiben. Er kann den Zweitfaktor in der betroffenen App fuer dich zuruecksetzen, sobald er dich persoenlich identifiziert.
 - Wir richten den Zweitfaktor dann neu auf dem neuen Handy ein.
+- Wenn moeglich: vor einem Handy-Wechsel kurz Bescheid sagen, dann koennen wir 2FA vorher umziehen, statt zuruecksetzen.
 
 ### "Das Handy-Foto-Backup ist stehen geblieben."
 
@@ -132,11 +136,22 @@ Michi laesst es dich wissen, wenn ein Wartungsfenster geplant ist.
 
 ## Offene Inhalte (Operator-Notiz)
 
+Diese Punkte gehoeren in das Wochenend-Onboarding-Gespraech und sind nicht Teil dieser Familien-Seite:
+
 | Status | Aufgabe |
 |---|---|
-| offen | Pro Familien-Konto Benutzernamen und Start-Passwort an die Person uebergeben |
-| offen | 2FA-App-Empfehlung pro Person festlegen (z. B. 2FAS / Aegis / Bitwarden Authenticator) |
+| offen | Pro Familien-Konto Benutzernamen und Start-Passwort persoenlich uebergeben (Vaultwarden Familien-Organisation als Uebergabeweg) |
+| offen | 2FA-App-Empfehlung pro Person festlegen (zum Beispiel Bitwarden Authenticator, Aegis, 2FAS) |
 | offen | Vaultwarden Familien-Organisation einrichten und Mitglieder einladen |
-| offen | Immich Mobile Backup mit jedem Familien-Geraet testen |
+| offen | Immich Mobile Backup mit jedem Familien-Geraet einmal gemeinsam ausprobieren |
 | offen | Scan-/Inbox-Anleitung fuer Paperless ergaenzen, sobald der Workflow final ist |
 | offen | Einladungstermin Wochenende mit konkretem Datum festlegen |
+
+## Bewusst nicht versprochen
+
+Damit niemand spaeter enttaeuscht ist, hier kurz, was die Seite **nicht** verspricht:
+
+- Es gibt aktuell **kein** Einheits-Login fuer alle Apps. Jede App hat ihre eigene Anmeldung. Eine Vereinheitlichung ist als Idee notiert, aber zeitlich noch nicht geplant.
+- Es gibt **keine** Garantie, dass eine App 24/7 verfuegbar ist. Es ist ein Heim-Server, kein Rechenzentrum.
+- Es gibt **keinen** automatischen Support per Hotline. Probleme gehen an Michi.
+- Es gibt **kein** Werbe-Konto und keinen Versand deiner Daten an Externe. Alles bleibt zuhause.