Was das security/authentication Team auf Arbeit sagt: "Ihr braucht für die neue on-device MFA App entweder Microsoft Authenticator oder einen Hardware Token". Auch auf Nachfrage 'nichts anderes möglich'.
Realität: Man kann einfach den bestehenden (OTP-based) 2FA vom VPN nutzen.