Google Ads API: Passkey-Pflicht ab August – was Unternehmen vorbereiten müssen
Google verschärft die Sicherheitsanforderungen rund um die Google Ads API: Ab dem 5. August 2026 werden für neue OAuth-2.0-Refresh-Tokens im nutzerbasierten Authentifizierungsablauf Passkeys verpflichtend. Für Unternehmen, Agenturen und MarTech-Teams ist das keine rein technische Randnotiz. Wer neue API-Autorisierungen für Konten, Tools oder Kundenumgebungen vorbereitet, sollte die Umstellung jetzt organisatorisch und technisch einplanen, damit es beim Onboarding neuer Zugriffe nicht zu Verzögerungen kommt.
Inhaltsverzeichnis
Was Google konkret angekündigt hat
Im Google Ads Developer Blog beschreibt Google eine stufenweise Einführung ab Dienstag, 5. August 2026. Künftig müssen Nutzerinnen und Nutzer, die im User-Authentication-Workflow neue OAuth-2.0-Refresh-Tokens für die Google Ads API erzeugen, sich mit einem Passkey authentifizieren.
Wichtig ist die Abgrenzung: Bestehende OAuth-Refresh-Tokens bleiben laut Google funktionsfähig und müssen nicht neu autorisiert werden. Ebenfalls nicht betroffen ist der Service-Account-Workflow. Google empfiehlt diesen Weg weiterhin ausdrücklich für Anwendungen mit automatisierten oder Offline-Prozessen.
Betroffen sind dagegen neue Autorisierungsvorgänge im nutzerbasierten Ablauf. Nach der Umstellung reichen reine Passwort-Anmeldungen oder klassische 2FA-Methoden wie TOTP-Codes oder SMS-Codes für diesen Schritt nicht mehr aus. Wer noch keinen Passkey eingerichtet hat, wird dazu aufgefordert, einen anzulegen und im Autorisierungsvorgang zu verwenden.
Warum die Änderung für Unternehmen relevant ist
Viele Marketing-Setups hängen direkt oder indirekt an der Google Ads API. Google nennt in seinem Beitrag ausdrücklich Produkte und Anbindungen wie Google Ads Editor, Google Ads Scripts, den BigQuery Data Transfer Service und Data Studio. Sobald dort neue passkey-basierte Authentifizierungen erforderlich werden, betrifft das nicht nur Entwicklerteams, sondern auch operative Marketingverantwortliche und Agenturen.
Besonders relevant ist das für Unternehmen, die neue Konten anbinden, Dienstleister wechseln, Reporting-Umgebungen aufsetzen oder bestehende Berechtigungen neu strukturieren. Der Knackpunkt ist nicht der laufende Betrieb vorhandener Tokens, sondern der Moment, in dem neue Zugänge geschaffen werden müssen. Genau dann kann eine fehlende Vorbereitung Prozesse ausbremsen.
Hinzu kommt ein weiterer Punkt aus der Ankündigung: Google weist darauf hin, dass bei neu eingerichteten Passkeys eine Sicherheitsfrist von sieben Tagen gelten kann, bevor sie als vertrauenswürdig und einsatzbereit gelten. Für Teams mit engem Go-live-Zeitplan ist das relevant, weil ein kurzfristig erzeugter Passkey nicht zwingend sofort für einen kritischen Freigabeprozess bereitsteht.
Welche Systeme und Prozesse jetzt auf den Prüfstand gehören
Unternehmen sollten nicht nur ihre API-Integrationen betrachten, sondern den gesamten Berechtigungs- und Onboarding-Prozess rund um Google Ads. Dazu gehören interne Admin-Zugänge ebenso wie Agentur-Setups, Kundenfreigaben und datengetriebene Reporting-Strecken.
1. Neue nutzerbasierte API-Autorisierungen identifizieren
Prüfen Sie, wo in Ihrem Unternehmen oder bei externen Partnern neue OAuth-Refresh-Tokens über den User-Authentication-Workflow erzeugt werden. Das kann bei neuen Kundenkonten, neuen Reportings, neuen Datenpipelines oder beim Wechsel von Tools relevant sein. Wer diese Stellen kennt, kann die Passkey-Einrichtung gezielt vorziehen.
2. Automatisierte Workflows sauber trennen
Wenn Anwendungen ohne laufende Benutzerinteraktion arbeiten, lohnt sich ein Blick auf den Service-Account-Workflow. Google schreibt ausdrücklich, dass dieser von der Änderung nicht betroffen ist und für automatisierte oder Offline-Prozesse empfohlen wird. Das ist kein Freifahrtschein für jede Integration, aber ein klarer Hinweis, bestehende Architekturentscheidungen zu überprüfen.
3. Onboarding und Freigaben zeitlich neu planen
Die mögliche siebentägige Sicherheitsfrist macht spontane Setups riskanter. Wer neue Ads-Zugänge kurz vor Kampagnenstart, Reporting-Relaunch oder Tool-Migration einrichtet, sollte mehr Vorlauf einplanen. Gerade bei mehreren Beteiligten, etwa Marketingteam, IT, Agentur und Geschäftsführung, wird aus einer kleinen Authentifizierungsänderung schnell ein operativer Engpass.
Was Marketingteams jetzt konkret tun sollten
- Passkeys frühzeitig für alle relevanten Google-Konten einrichten, die künftig neue Google-Ads-API-Autorisierungen freigeben müssen.
- Alle betroffenen Workflows dokumentieren, in denen neue OAuth-2.0-Refresh-Tokens für Google Ads erzeugt werden, inklusive Verantwortlichen und Tools.
- Prüfen, ob automatisierte oder Offline-Prozesse sinnvoll auf einen Service-Account-Workflow umgestellt oder darauf konsolidiert werden können.
- Einführungs- und Migrationspläne vor dem 5. August 2026 mit zusätzlichem Zeitpuffer versehen, um die mögliche Sieben-Tage-Frist bei neuen Passkeys abzufangen.
Darüber hinaus lohnt sich ein Abgleich mit bestehenden SEA- und Reporting-Prozessen. Wer etwa mit Google Ads Editor arbeitet oder größere SEA-Strukturen in mehreren Konten betreut, sollte die Änderung nicht isoliert als Entwickleraufgabe behandeln. Sie betrifft die Betriebsfähigkeit der gesamten Werbeinfrastruktur.
Auch für Teams, die ihr Setup strategisch weiterentwickeln, ist die Nachricht relevant. Wer SEA-Prozesse neu strukturiert oder extern unterstützen lässt, sollte Sicherheits- und Zugriffsfragen direkt im Setup mitdenken. Passend dazu können Beiträge wie SEA Kampagne planen, die Leistungsseite SEA Paid Hero und der Überblick zur Suchmaschinenwerbung SEA Agentur helfen, operative und strategische Anforderungen zusammenzubringen.
Was sich ausdrücklich nicht ändert
Die Ankündigung bedeutet nicht, dass bestehende Google-Ads-API-Setups sofort ausfallen. Nach aktuellem Stand bleiben vorhandene Refresh-Tokens nutzbar. Ebenso sagt Google klar, dass Service Accounts von der Änderung nicht betroffen sind. Unternehmen sollten die Lage also weder dramatisieren noch auf die leichte Schulter nehmen: Der Handlungsdruck liegt vor allem bei neuen Autorisierungen, nicht beim sofortigen Umbau jeder laufenden Verbindung.
Genau deshalb ist die jetzige Phase entscheidend. Wer die betroffenen Konten, Personen und Tools früh identifiziert, kann die Umstellung kontrolliert vorbereiten. Wer erst kurz vor einem neuen Setup reagiert, riskiert Verzögerungen in Kampagnenbetrieb, Reporting oder Kundenfreigaben.
Quelle und Einordnung
Die Meldung stammt aus dem Google Ads Developer Blog und wurde dort am Montag, 27. Juli 2026 veröffentlicht. Für Unternehmen ist sie vor allem deshalb relevant, weil Google einen konkreten Starttermin nennt und die Auswirkungen auf neue Autorisierungsvorgänge klar beschreibt. Die Primärquelle finden Sie hier: Passkey authentication requirement for the Google Ads API.
FAQ
Müssen bestehende Google-Ads-API-Tokens neu eingerichtet werden?
Nein. Google schreibt, dass bestehende OAuth-Refresh-Tokens von der Änderung nicht betroffen sind und weiter funktionieren.
Ab wann gilt die Passkey-Pflicht?
Der Rollout startet laut Google am 5. August 2026 und wird dann in den folgenden Wochen für alle Nutzer aktiviert.
Sind automatisierte Integrationen automatisch betroffen?
Nicht pauschal. Google nennt ausdrücklich, dass Service-Account-Workflows nicht betroffen sind und weiterhin für automatisierte oder Offline-Prozesse empfohlen werden.
Warum sollten Teams schon vor August aktiv werden?
Weil bei neu eingerichteten Passkeys laut Google eine Sicherheitsfrist von bis zu sieben Tagen gelten kann. Wer neue Zugriffe kurzfristig braucht, sollte deshalb Vorlauf einplanen.
Haben Sie Fragen?
Wenn Sie Fragen zu diesem Thema haben oder Unterstützung für Ihr Online Marketing suchen, schreiben Sie uns gerne.
