@michaelg Aus der Sicht des Servers (und der ist derjenige, der authentisiert) ist dein Handy halt ein Kanal - und nicht zwei. 😉
Er kann nur diesen einen Faktor prüfen (Biometrie o.ä. läuft nur auf dem Handy; weiß der Server nichts mehr von).
Wer dein Handy klaut (und/oder hackt), kann halt deine Biometrik umgehen/ausschalten und dein Passwort gibst du ja in der App auch nicht mehr jedesmal ein, oder (ich habe selbst keinen 2FA-Account auf meinem Handy)?
Da bin ich vielleicht "berufsgeschädigt" (wir setzen bei uns immer getrennte Hardware mit eigener Krypto ein) ein wenig strenger als der Durchschnitt und ich bin ja froh, dass CT hier etwas anbietet, wahrscheinlich reicht das für das hier geforderte Niveau und "wenig" ist immer besser als "nichts" ... aber so 100% glücklich bin ich halt nicht. 😅
(schade, dass sich die Chipkarten nicht durchgesetzt haben, die eigentlich jeder [noch] in der Tasche herumträgt)
Gruß
Simon