@player005 @bsi Ja und nein. Dadurch ist es nicht mehr wirklich Multi Factor. Aber eigentlich ist Multi Factor vollkommen irrelevant und war es auch immer schon. Es gibt MFA Lösungen die nahezu komplett unsicher sind, andere, welche gegen bestimmte Angriffe helfen, und dann gibt es nicht-MFA (oder "weniger" MFA-ig wie Passkeys), welches z.T. viel sicherer ist als klassische MFA Lösungen.

Anstatt MFA zu predigen sollten wir uns Angriffe anschauen und verstehen, was gegen diese hilft. Phished jemand meinen Login und speichert die Passwörter um danach später zu versuchen sich damit einzuloggen, dann hilft ein TOTP – aber auch, wenn ich den einfach nur im PW Mgr gespeichert habe! Ditto, wenn bspw. Discord gehacked und mein PW geleaked wurde, ich das aber auch woanders nutze. Dann schützt mich der TOTP davor, weil der das ganze "einzigartiger" macht. Aber hätte ich überall unterschiedliche PWs wäre das in diesem Szenario genauso sicher.

Phished ein Angreifer mich und den TOTP auch um danach sich sofort automatisch mit diesem einzuloggen... dann hilft auch das TOTP nicht mehr und es ist vollkommen egal wo der lag.

Das einzige wo es "wichtig" ist, dass der separat gespeichert ist, ist wenn ich annehme, dass mein PW Mgr unsicher ist/nicht hinreichend geschützt ist.