Warum gibt es keine Zwei-Faktor-Authentifizierung (2FA)?

Weil es eine bewusste Abwägung ist, kein Versäumnis. Die vertraute Art von 2FA - ein Code per SMS oder eine Authenticator-App - existiert, um schwache, von Menschen gewählte Passwörter abzustützen, und sie stützt sich auf ein gemeinsames Geheimnis und einen Wiederherstellungspfad auf einem Server. Genau diese Angriffsfläche schafft das Phrasen-Modell ab: Dein Gerät beweist den Schlüsselbesitz, indem es eine Challenge signiert, unsere Server erhalten also immer nur einen öffentlichen Schlüssel und eine Signatur - nie die Phrase und nie einen Passwort-Hash. Einen Code obendrauf zu schrauben würde die Server-Maschinerie wieder einführen, die dieses Design gerade vermeidet, und gegen Raten hilft er nicht, denn 128 Bit schließen diese Tür bereits.

Die eine Art zweiter Faktor, die wirklich etwas brächte, ist eine Phishing-resistente - etwa ein Hardware-Sicherheitsschlüssel oder ein Passkey. Denn die echten Restrisiken sind nicht Raten, sondern Phishing, Malware und eine Phrase, die gestohlen oder abgeschaut wird. Auf einem unbeaufsichtigt entsperrten Gerät sind App-Sperre (PIN) und biometrisches Entsperren die lokale Absicherung.

Darüber hinaus gilt: Die Phrase ist der Schlüssel, also sichere sie am Tag der Kontoerstellung: Lege sie in einen seriösen Passwort-Manager, oder drucke sie aus bzw. schreibe sie auf und verwahre die Kopie an einem sicheren Ort. Und füge sie nie irgendwo anders ein als in der App selbst.