SP 800-63B-4 verlangt für Anwendungen auf AAL2-Niveau eine phishingresistente Anmeldeoption. Das ist eine Einordnung des Standards, keine Meldung über eine heutige Neuregelung und keine pauschale Rechtspflicht für jeden privaten Dienst.
Ein Einmalcode kann über eine gefälschte Seite weitergeleitet werden. Frage nach der konkreten Methode und ob sie für deine Kontovariante verfügbar ist. Die bloße Werbeaussage „Zwei-Faktor“ beantwortet das nicht.
Wichtig ist auch die Wiederherstellung: Eine starke tägliche Anmeldung nützt wenig, wenn ein verlorenes Gerät über einen schwachen Ersatzweg umgangen wird. Prüfe mehrere registrierbare Authentifikatoren, Sperrung verlorener Geräte und nachvollziehbare Kontoaktivität.
Halte Methode, Gerätekompatibilität, Wiederherstellung und Administrationsregeln getrennt fest. NIST definiert Vertrauensniveaus für seinen Geltungsbereich; sie sind eine Vergleichshilfe, kein universelles Prüfsiegel für Verbraucher-Apps.