Priorität: Google → Passkey → E-Mail + Passwort (nur mit MFA).
Nach Passwort-Login wird lokale MFA erzwungen (Passkey bevorzugt, TOTP/Recovery als Fallback).