Google Ads API verlangt ab August 2026 Passkeys

Google führt ab dem 5. August 2026 schrittweise eine Passkey-Pflicht für den Anmeldevorgang der Google Ads API ein, über den neue Zugangsdaten ausgestellt werden. Der Authentifizierungsworkflow, der neue OAuth-2.0-Refresh-Token erzeugt, muss künftig eine Passkey-Abfrage durchlaufen. Eine reine Passwort-Anmeldung sowie ältere Zwei-Faktor-Methoden wie SMS-Codes und zeitbasierte Einmalpasswörter werden für diesen Schritt nicht mehr akzeptiert. Für Marken und Agenturen, die Google Ads im großen Maßstab automatisiert verwalten, ist das eine verbindliche Sicherheitsfrist und kein optionales Update.

Was ist passiert

Am 27. Juli 2026 kündigte der Google Ads Developer Blog an, dass „die Google Ads API künftig Passkeys für Nutzer der Google Ads API verlangt”. Die Einführung soll am 5. August beginnen und in den darauffolgenden Wochen alle Nutzer erreichen.

Die Vorgabe betrifft den Authentifizierungsworkflow, der neue OAuth-2.0-Refresh-Token ausstellt. Bestehende Refresh-Token sind davon nicht betroffen: Sie funktionieren weiterhin, und Integrationen werden beim Umtausch in Access-Token nicht zur erneuten Autorisierung aufgefordert. Was sich ändert, ist der Vorgang der Autorisierung eines neuen Token. Neue Nutzer werden aufgefordert, sich mit einem Passkey anzumelden, und falls noch keiner existiert, einen anzulegen. Google weist zudem auf eine Vertrauensverzögerung von bis zu sieben Tagen hin, bevor ein neu erstellter Passkey als vertrauenswürdig gilt und genutzt werden kann. Deshalb empfiehlt das Unternehmen, einen Passkey rechtzeitig einzurichten und nicht erst dann, wenn ein Token tatsächlich ausgestellt werden muss.

Der Geltungsbereich reicht über direkt gegen die API geschriebenen Code hinaus. Google nannte unter anderem Google Ads Editor, Google Ads scripts, den BigQuery Data Transfer Service und Data-Studio-Connectors als Tools, die künftig ebenfalls eine Passkey-basierte Authentifizierung verlangen.

Warum das wichtig ist

Passwörter sowie SMS- oder app-basierte Einmalcodes sind genau die Faktoren, auf deren Erbeutung Phishing- und Account-Takeover-Angriffe ausgelegt sind. Passkeys sind phishing-resistant: Sie sind an die echte Website gebunden und lassen sich, anders als ein Passwort oder ein Einmalcode, weder abphishen noch wiederverwenden. Damit schließt die Umstellung einen vielgenutzten Zugangsweg zu Werbekonten, die Budgets und Kundendaten enthalten. Der Preis dafür liegt im operativen Ablauf: Jedes Team, das die Token-Erzeugung automatisiert hat und dabei davon ausging, dass ein Passwort plus Einmalcode ausreicht, steht nun vor einem Schritt, den ein Skript nicht mehr stillschweigend erledigen kann.

Was das für Unternehmen mit mehreren Standorten bedeutet

Für ein zentrales Marketing- oder Martech-Team, das Google Ads über Hunderte oder Tausende Standorte hinweg steuert, liegt das Risiko in einem stillen Ausfall der Automatisierung, nicht in einer gesperrten Anmeldung. Massen-Uploads über Google Ads Editor, geplante Skripte und BigQuery-Datentransfers hängen alle an dem Token-Ablauf, der sich jetzt ändert. Ein Token, das im August nicht neu erzeugt werden kann, legt die dahinterliegende Pipeline lahm.

Die Aufgabe vor dem Stichtag ist Governance, keine technische Kleinarbeit. Erfassen Sie jede Integration und jeden Connector, der den Authentifizierungsworkflow gegen die Google Ads API ausführt, denn genau dieser Ablauf ändert sich; der Zugriff über Service-Konten nutzt eigene Zugangsdaten und ist von dieser Anforderung nicht betroffen. Klären Sie, welche Nutzeridentitäten neue Refresh-Token ausstellen, und stellen Sie sicher, dass für jede dieser Identitäten jetzt schon ein vertrauenswürdiger Passkey hinterlegt ist, die siebentägige Vertrauensverzögerung eingerechnet. Legen Sie fest, wer die Passkeys für gemeinsam genutzte oder teamverwaltete Konten verwahrt, und dokumentieren Sie das, damit nicht das Gerät eines einzelnen ausscheidenden Mitarbeiters dazu führt, dass sich ein ganzer nationaler Kampagnenbestand nicht mehr erneut authentifizieren kann. Den Zugriff auf die Plattformen zu verschärfen, die Ihre Präsenz- und Werbedaten tragen, folgt derselben Disziplin wie PinMeTos ISO-27001-Zertifizierung und EU-Datenresidenz: kontrollieren, wer und was auf die Konten zugreifen kann, und das auch nachweisen.

„Die Google Ads API wird künftig Passkeys für Nutzer der Google Ads API verlangen.”

Google Ads Developer Blog

Fazit

Bestehende Automatisierungen laufen mit ihren aktuellen Refresh-Token weiter, und reguläre Access-Token-Erneuerungen sind nicht betroffen, sodass am 5. August selbst nichts ausfällt. Das Risiko entsteht in dem Moment, in dem jede Integration nach der Einführung zum ersten Mal einen neuen OAuth-Refresh-Token ausstellen muss: Dann wird aus einem fehlenden Passkey ein blockierter Workflow. Marken, die Google Ads und ihre Standortdaten über die PinMeTo API Suite verwalten und bezahlte lokale Aktivitäten über Local Ad Campaigns koordinieren, sollten jetzt schon Passkeys registrieren und Zuständigkeiten festlegen, bevor die Einführung am 5. August beginnt und ihre Konten in den folgenden Wochen erreicht, und dabei die siebentägige Vertrauensverzögerung für Passkeys einplanen.