Das ist nicht korrekt, man kann sich auch über den Benutzernamen einloggen.
2FA verhindert, dass jemand, der dein Passwort gestohlen hat, es wiederverwendet, aber keine Malware auf deinen Computer gebracht hat.
Selbst im schlimmsten Fall hast du noch SSH-Zugriff auf den Server und kannst deinen Zugriff von dort wiederherstellen.