Wiederherstellungscodes gehören natürlich nicht ungeschützt auf das Arbeitssystem. Sondern in einen Passwortsafe. Oder noch besser: Offline in einen physischen Safe. Wobei man in letzterem Falle physische Gefahren ebenfalls berücksichtigen sollte, je nachdem wie wichtig der Zugang ist.