Die optionale Passphrase kann optional (!) in der Trezor Suite, aber auch direkt on-device eingegeben werden. Letzteres ist unpraktischer, aber wie du schon sagst natürlich sicherer.
Naja, das ist ein individueller Kompromiss, den man eingehen kann. Viele haben ihre optionale Passphrase z.B. im Passwort Manager gespeichert. Das ist in meinen Augen legitim und logischerweise immer noch besser, als komplett ohne.
Ideal ist natürlich, wenn die Passphrase komplett analog bzw. nur direkt mit der Hardware-Wallet verwendet wird.
Ich bin persönlich auch kein Fan davon, dass die Trezor Suite einem das überhaupt anbietet, in gewisser Weise ist das aber auch historisch bedingt, da man früher zumindest mit dem Model One keine Passphrase am Gerät eingeben konnte.
Man kann Wallets mit optionaler Passphrase (in der Trezor Suite auch „Hidden wallets“ genannt) verstecken, sodass sie ohne angeschlossenen Trezor bzw. ohne explizite Eingabe nicht sichtbar sind.
Zumindest habe ich das so in Erinnerung.