If I have set up a Passkey, sending out mails with a code does not make sense. And sending out a code by mail even if I have an Authenticator TOTP for your site makes no sense either.
»Microsoft liest mit?! Outlook leitet fremde E-Mails und Logindaten an sich weiter. Deine Auch?«
Weshalb bin ich nicht überrascht und es meinen immer noch viele, dass sie nichts zu verbergen haben? Seriöse Firmen handeln anders aber Microsoft könnte ja auch von der US-Regierung dazu "gezwungen" sein?!