@player005 @bsi Du kannst zB KeePassXC als "Authenticator app" am Desktop verwenden. Idealerweise liegen die 2FA Token (OTP, Passkey/Webauthn) nicht im selben Vault wie die Passwörter.
Passkeys heben diese Trennung auch auf. Da ist das "something you know" (wenn überhaupt) nur noch lokal in Verwendung.
Das ganze 2fa schützt vor einer replay attacke. Und das ist auch gegeben wenn der 2FA init im selben vault liegt.
@flohoff @player005 @bsi Außerdem verhindert es credentials reuse und Trivialpasswörter. Und nebenbei ist es eine Hürde, wenn Leute versuchen einen Account gemeinsam zu nutzen.
Aber beide Faktoren gemeinsam speichern bedeutet natürlich, dass beide gemeinsam geklaut werden können. Aus der Perspektive sind physische FIDO2 Security Keys zu bevorzugen. Die helfen selbst bei kompromittiertem Endgerät noch.
Der punkt ist halt das typischerweise nicht Passwörter bei Usern geklaut werden sondern die Password Datenbanken bei den applikationshostern abhanden kommen. Siehe "haveibeenpawned"
Ich bin immer noch ein freund eines guten Passwords auf einem Zettel unter der Tastatur - Besser das als den Namen der Ehefrau + Geburtsdatum was man in den CEO Etagen viel finden wird. (Evtl auch die Geliebte)