Ja, wie gesagt, da muss man halt die Risiken abwägen. Ich persönlich sehe es auch nicht so extrem dramatisch. Und 2FA im Passwortmanager schützt dich ja immer noch, wenn dein Passwort auf anderem Wege geleakt wird.
Schafft es hingegen jemand, Zugriff auf den Inhalt deines Passwortmanagers zu erhalten, hat er dadurch natürlich auch Zugriff auf die TOTP-Secrets. Oder anders herum: Wären die TOTP-Secrets nicht im Passwortmanager gewesen, hätte dich das davor bewahren können, dass der Angreifer Zugriff auf diese Accounts erhält.
Ein kompromittierter Passwortmanager ist allerdings per se schon der Super-GAU. So gesehen darf das halt einfach nie passieren. 😉
esackbauer Viel gefährlicher sind Long-lived Token die z.b. die Dienste bei Facebook/Google/Youtube etc. angemeldet halten. Damit lässt sich u.U. die komplette digitale Identität übernehmen.
Ja das ist so, wenn jemand an die kommt, hilft auch die stärkste Authentifizierung nicht mehr.