Google Ads API testet sicheren Zugriff für Manager-Konten

Google testet derzeit eine neue Sicherheitsfunktion für die Google Ads API, mit der Eigentümer von Manager-Konten genau festlegen können, welche Anwendungen sensible Anfragen an ihre Konten stellen dürfen. Der Google Ads Developer Blog beschrieb das Opt-in-Pilotprogramm, Secure API Access to your Manager Accounts (sicherer API-Zugriff auf Ihre Manager-Konten), am 3. August 2026. Für Agenturen und Marken, die Werbung über Hunderte von Standorten hinweg in einer einzigen Manager-Konto-Hierarchie verwalten, verwandelt sich der Zugriff auf Kontoebene damit von einem Standard des generellen Vertrauens in eine explizite Positivliste.

Was ist passiert

Im Rahmen des Pilotprogramms kann der Eigentümer eines übergeordneten Google Ads Manager-Kontos, eines MCC, eine Positivliste zugelassener Anwendungen erstellen, die auf die sensibelsten Bereiche der Google Ads API zugreifen dürfen. Google beschreibt den betroffenen Umfang als Kontoverwaltung, Benutzerverwaltung und Abrechnungsvorgänge. Standardmäßige Reporting- und Lesezugriffe werden von Google nicht als gesperrt beschrieben.

Zur Teilnahme reicht ein Werbetreibender die Kundennummer seines übergeordneten Manager-Kontos ein. Google prüft daraufhin die API-Aktivität in der gesamten Konto-Hierarchie, um jede aktuell verbundene Anwendung zu identifizieren, und arbeitet gemeinsam mit dem Werbetreibenden an der Positivliste. Sobald die Funktion aktiviert ist, wird jede Anwendung, die nicht auf der Liste steht, für diese sensiblen Anfragen gesperrt, und später verknüpfte Manager-Konten übernehmen denselben Schutz automatisch. Nach dem Beitritt können Werbetreibende die Freigabe weiterer Anwendungen beantragen. Das Pilotprogramm läuft auf Einladungsbasis und per Opt-in, Google hat weder eine Frist noch ein Datum für die breitere Verfügbarkeit veröffentlicht.

Warum das wichtig ist

Sensible API-Methoden sind jene, mit denen sich Geld bewegen, Zugriffsrechte ändern und Konten umstrukturieren lassen, also genau die Methoden, die ein kompromittiertes Drittanbieter-Tool oder ein Angreifer am ehesten erreichen möchte. Die Passkey-Authentifizierung, die die Google Ads API seit dem 5. August 2026 verpflichtend vorschreibt, härtet den Anmeldeschritt ab, bei dem neue API-Zugangsdaten ausgestellt werden, lässt bestehende refresh tokens und den Zugriff über service accounts jedoch unangetastet. Dieses Pilotprogramm härtet etwas anderes ab: welche Anwendungen ein gültiges Zugangstoken anschließend steuern darf. Zusammen betrachtet sind beide Maßnahmen zwei Ebenen derselben Anstrengung, Kontoübernahmen und nicht autorisierte Automatisierung zu unterbinden, einmal auf Identitätsebene und einmal auf Anwendungsebene.

Was das für Marken mit mehreren Standorten bedeutet

Für ein zentrales Team, das Google Ads über einen großen Bestand an Standorten hinweg steuert, sind in der Regel mehr Anwendungen an die Manager-Konto-Hierarchie angebunden, als irgendjemand gezählt hat: Bulk-Editoren, Reporting-Dashboards, Gebots- und Budgetautomatisierung, Data-Warehouse-Anbindungen und die Martech-Plattformen, die die lokalen Aktivitäten koordinieren. Einige davon können auf Konto-, Benutzer- oder Abrechnungsvorgänge zugreifen, und genau herauszufinden, welche das tatsächlich tun, ist das, wozu das Pilotprogramm zwingt.

Der erste Schritt des Pilotprogramms, Googles Prüfung aller aktuell aufrufenden Anwendungen, lohnt sich unabhängig von einer Teilnahme auch in Eigenregie. Erstellen Sie eine Bestandsaufnahme, welche Google Cloud-Projekte und Tools tatsächlich auf sensible Methoden zugreifen, und prüfen Sie bei jedem, ob das so beabsichtigt ist. Diese Bestandsaufnahme ist die Grundlage, auf der eine Positivliste aufbaut, und sie folgt derselben Disziplin, die auch die Standortdaten schützt, die eine Marke über die PinMeTo API Suite verwaltet, sowie die bezahlten lokalen Aktivitäten, die sie über lokale Werbekampagnen länderübergreifend koordiniert. Kontrollieren zu können, welche Systeme auf die Konten zugreifen dürfen, die Ihre Präsenz tragen, und das auch nachweisen zu können: Das ist die Haltung hinter PinMeTos Verpflichtungen zu ISO 27001 und EU-Datenresidenz.

Sobald Secure API Access für ein Manager-Konto aktiviert ist, wird jede Anwendung, die nicht auf der freigegebenen Positivliste steht, laut Google Ads Developer Blog vom 3. August 2026 daran gehindert, sensible Anfragen zu stellen.

Fazit

Noch ist nichts davon verpflichtend, und ein freiwilliges Pilotprogramm ohne Frist lässt sich leicht auf später verschieben. Der sinnvolle Schritt jetzt ist die Bestandsaufnahme, nicht die Anmeldung: Genau zu wissen, welche Anwendungen Konto-, Benutzer- und Abrechnungsvorgänge in Ihrem Google Ads Bestand ausführen können, ist für sich genommen wertvoll und macht es leicht, schnell eine Positivliste aufzubauen, sollte Google das Pilotprogramm ausweiten oder zum Standard machen. Marken, die bezahlte lokale Aktivitäten in großem Umfang steuern, sollten diese Angriffsfläche kartieren, solange es noch eine Wahl und keine Pflicht ist.