Gängige zweite Faktoren sind TOTP-Codes aus einer App, Push-Bestätigungen, SMS-Codes und FIDO2-Sicherheitsschlüssel oder Passkeys. Gegen Phishing schützen nur FIDO2 und Passkeys zuverlässig, weil sie an die echte Domain gebunden sind. SMS gilt wegen SIM-Swapping als schwächste Variante.
TOTP hängt an der Uhrzeit: Weicht die Zeit auf Smartphone oder Server um mehr als etwa 30 Sekunden ab, werden korrekte Codes abgelehnt.
Im Support sind die häufigsten MFA-Fälle ein verlorenes oder neues Smartphone ohne übertragene Codes, fehlende Wiederherstellungscodes und App-Passwörter für alte Mailprogramme, die kein MFA unterstützen. Ein dokumentierter Prozess zum Zurücksetzen mit Identitätsprüfung spart hier Zeit.