Es geht bei der 2-Faktor-Authentifizierung darum, dass die Verifikation über zwei unterschiedliche Kanäle läuft.

Du siehst das aus Benutzersicht, sehe das mal aus Anbietersicht, dann wird das klarer:

Du willst dich auf einer Webseite anmelden, dann brauchst du Username und Passwort. Jeder, der diese beiden Daten hat, kann sich einloggen. Username und Passwort kann man erraten, versuchen auszutesten, es gibt Datenbanken dafür, …

Wenn du eine 2-Faktor-Authentifizierung hast, sendet dir der Server auf einem vorher definiertem Weg, z. B. SMS einen Code, den du dann eingibst. Du musst also die Verfügungsgewalt über den zweiten Weg haben und genau das macht es wesentlich sicherer als die einfache Eingabe von Username und Passwort.

Also nochmal aus Sicht eines Hackers: Username und Passwort in einem Login-Fenster reicht nicht, man muss auch das Handy besitzen.

Wenn man da sicherheitstechnisch noch was drauf setzen will, wird es sehr anspruchsvoll und ich denke, das geben die aktuellen Bandbreiten noch nicht her für den Massenmarkt, die Metadaten werden dann ziemlich viel.