Passkey-Pflicht bei Google Ads: Neuer Stichtag 19. August
Google verschickt aktuell E-Mails an Werbetreibende: Ab dem 19. August sind bestimmte sensible Aktionen im Google Ads Konto nur noch mit einem Google-Passkey möglich, etwa Nutzer hinzufügen oder Konten verknüpfen. Die Mail ist echt, kein Phishing. Weil ein neuer Passkey bis zu 7 Tage braucht, bis er einsatzbereit ist, solltest du die Einrichtung nicht auf die letzte Woche schieben.
Wenn du in den letzten Tagen eine E-Mail von Google mit der Aufforderung “Passkey erstellen” bekommen hast: Die ist echt. Google hatte die Passkey-Pflicht für sensible Konto-Aktionen ursprünglich zum 15. Juli angekündigt. Die Umstellung läuft jetzt gestaffelt, und in den aktuellen Servicemitteilungen nennt Google den 19. August als Stichtag. Ab dann sind bestimmte Aktionen in deinem Google Ads Konto nur noch mit einem Google-Passkey möglich.
Was steht in der E-Mail von Google?
Die Mail kommt vom Google Ads-Team und kündigt an, dass ab dem 19. August für bestimmte sensible Aktionen im Konto ein Google-Passkey erforderlich ist. Als Beispiele nennt Google das Hinzufügen von Nutzerinnen und Nutzern sowie das Verknüpfen von Konten. Wichtig ist der Satz am Ende: Auf die Art, wie du dich in deinem Konto anmeldest, hat das keine Auswirkungen. Der normale Login bleibt, wie er ist.
Google weist in der Mail außerdem darauf hin, dass es bis zu 7 Tage dauern kann, bis ein neuer Passkey einsatzbereit ist. Genau deshalb solltest du die Einrichtung nicht aufschieben. Dazu unten mehr.
Ein Wort zur Vorsicht, gerade weil vor einigen Monaten eine Phishing-Welle mit gefälschten MCC-Einladungen durch die Branche ging: Auch wenn diese Mail echt ist, musst du den Button darin nicht anklicken. Du kannst den Passkey genauso gut selbst einrichten, indem du myaccount.google.com direkt im Browser aufrufst. Damit bist du auf der sicheren Seite, egal ob eine Mail echt oder gefälscht ist.
Verlierst du mit Google Ads mehr Geld, als du solltest?
Seit 2013 Google Ads. Jährliche Werbebudgets im Millionenbereich.
Was du im kostenlosen Check bekommst:
Benjamin Häntzschel
Google Ads, KI & Conversion-Optimierung
Was ist ein Passkey überhaupt?
Ein Passkey ist eine moderne Form der Anmeldung, die das klassische Passwort ersetzt. Statt eines Strings, den jemand stehlen oder erraten kann, nutzt der Passkey eine kryptographische Bindung an dein Gerät. Zum Anmelden bestätigst du mit Fingerabdruck, Face ID oder einer Geräte-PIN. Ohne dein Gerät kommt niemand rein, selbst wenn er deine E-Mail-Adresse kennt.
Der entscheidende Unterschied zum Passwort: Ein Passkey lässt sich nicht klauen, nicht abphishen und nicht in einer Datenbank entwenden. Selbst wenn ein Angreifer dein E-Mail-Postfach übernimmt und versucht, sich in Google Ads einzuloggen, scheitert er, weil ihm dein Gerät fehlt. Genau diesen Vektor adressiert Google jetzt für Werbekonten, in denen oft fünf- bis sechsstellige Monatsbudgets stehen.
Welche Aktionen sind ab dem 19. August betroffen?
Google hat klargemacht: Es geht nicht um den normalen Login, und es geht nicht um jede Aktion. Betroffen sind ausschließlich besonders sicherheitskritische Vorgänge.
In der Praxis sind das vor allem:
- Benutzer-Zugriff anpassen. Neue Nutzerinnen und Nutzer hinzufügen, Rechte von bestehenden Nutzern ändern. Das ist eines der beiden Beispiele, die Google in der aktuellen Mail selbst nennt.
- Account-Verknüpfungen ändern. Neue MCC-Verbindungen akzeptieren, bestehende verknüpfte Konten anpassen. Auch das nennt Google explizit.
- Zahlungs-Einstellungen. Hinterlegte Karte oder SEPA-Mandat austauschen, Rechnungsstellungs-Adresse ändern.
- Sicherheits-relevante Aktionen. Bestimmte Schutz-Einstellungen im Konto deaktivieren oder anpassen.
Wichtig dabei: Andere Login-Methoden bleiben weiter nutzbar. Wer keinen Passkey eingerichtet hat, kann sich weiter ganz normal anmelden und Kampagnen bearbeiten, läuft aber bei den oben genannten Aktionen in eine Sperre, bis ein Passkey vorhanden ist.
Warum du nicht bis Mitte August warten solltest
Hinzu kommt eine Sicherheits-Mechanik: Neu eingerichtete Passkeys werden mit einer Wartezeit von bis zu sieben Tagen aktiviert, bevor sie für sensible Aktionen genutzt werden können. Das schützt davor, dass ein Angreifer bei einem kompromittierten Konto sofort einen neuen Passkey einrichtet und damit die Sicherheits-Schwelle umgeht.
Konkret heißt das: Wer am 18. August noch schnell einen Passkey anlegt, kann ihn am 19. August für eine sensitive Aktion noch nicht nutzen. Wenn du im August noch Nutzer hinzufügen, ein Konto verknüpfen oder Zahlungsdaten ändern willst, brauchst du den Passkey spätestens Anfang August, besser jetzt.
Wer in meinem Team muss aktiv werden?
Jeder, der zu einem der betroffenen Vorgänge berechtigt ist. Das umfasst typischerweise:
- Die Konto-Inhaberin oder den Konto-Inhaber
- Alle Personen mit Admin-Zugriff im Google Ads Konto
- Externe Berater oder Agenturen, die Aktionen mit Admin-Rechten ausführen
- Mitarbeitende, die Zahlungsmethoden hinterlegen oder ändern
Wichtig dabei: Ein Passkey wird pro Person und pro Gerät eingerichtet, nicht für das Konto als Ganzes. Wenn fünf Personen in deinem Team Admin-Zugriff haben, müssen alle fünf Personen einen Passkey für ihr eigenes Google-Konto einrichten, jeweils auf dem Gerät, das sie für Google Ads nutzen.
Wie richte ich einen Passkey ein?
Die Einrichtung läuft nicht über Google Ads selbst, sondern über dein Google-Konto. Der Vorgang dauert auf einem Gerät, das du regelmäßig nutzt, wenige Minuten.
Gehe auf deinem normalen Arbeitsgerät zu myaccount.google.com und logge dich mit dem Account ein, mit dem du Google Ads nutzt. Falls du mehrere Google-Konten parallel betreibst, achte darauf, dass du im richtigen Account bist.
Klicke links auf den Bereich „Sicherheit”. Dort findest du den Abschnitt „So melden Sie sich in Ihrem Google-Konto an”. Hier wird der Passkey angelegt.
Wähle „Passkeys” aus und folge dem Setup-Prozess. Je nach Gerät bestätigst du mit Fingerabdruck, Face ID oder Geräte-PIN. Google legt dann einen Passkey ab, der an dieses Gerät gebunden ist.
Lege idealerweise einen zweiten Passkey auf einem anderen Gerät an, das du regelmäßig nutzt. Falls dein Hauptgerät verloren geht, hast du so eine Alternative. Empfehlenswert sind die Kombination aus Arbeitsrechner und Smartphone.
Was passiert, wenn ich am 19. August noch keinen Passkey habe?
Deine Kampagnen laufen normal weiter, und auch der Login funktioniert wie bisher. Aber sobald du eine der sensiblen Aktionen auslöst, führt Google dich durch den Passkey-Einrichtungs-Prozess. Das funktioniert, wenn du Zeit hast und das richtige Gerät zur Hand ist. Im schlechteren Fall versuchst du gerade unter Zeitdruck, einen neuen Mitarbeiter ins Konto zu holen oder eine Kontoverknüpfung zu bestätigen, und die Aktion steht still, bis der Passkey eingerichtet und die Wartezeit abgelaufen ist.
Genau solche Situationen lassen sich vermeiden, wenn du das Setup jetzt in einer ruhigen Minute erledigst, statt es im Notfall nachzuholen.
Wer mit einer Agentur arbeitet, sollte die Einrichtung von Passkeys jetzt mit allen Beteiligten abstimmen. In der Praxis tauchen die Probleme nicht beim eigenen Konto auf, sondern dort, wo externe Beraterinnen oder Berater Zugriff haben, ihren Passkey aber noch nicht eingerichtet haben. Ein kurzes E-Mail-Memo an alle externen Zugriffsberechtigten spart später Stress.
Was bedeutet das für Kanzleien und sensible Branchen?
Für Branchen mit erhöhten Compliance-Anforderungen ist die Umstellung ein willkommener Schritt. Wer in einer Kanzlei oder einer Steuerberatung Werbekonten verwaltet, kann gegenüber Mandanten oder der Geschäftsführung jetzt sauber dokumentieren, dass der Zugriff auf das Marketing-Budget zwei-Faktor-geschützt und phishing-resistent abgesichert ist. Das ist mehr als nur Hygiene, das ist nachweisbare Sorgfaltspflicht.
Auch bei Finanzdienstleistern, deren Konten oft mit hohem Tagesbudget laufen, ist der Schutz der Zugriffs-Ebene direkt ein Schutz des Werbe-Budgets. Ein einziger erfolgreicher Phishing-Angriff kann bei einem aktiven Konto innerhalb eines Tages mittlere fünfstellige Schäden verursachen.
Was sich ab dem 5. August bei der Google Ads API ändert
Parallel zur Passkey-Pflicht im Konto läuft eine zweite Umstellung, die einen anderen Kreis trifft und deshalb leicht untergeht. Seit dem 5. August 2026 verlangt Google auch bei der Google Ads API einen Passkey, sobald ein neues OAuth-Token erzeugt wird.
Es geht um neue OAuth-Refresh-Token für die Google Ads API. Wer ein solches Token erstellt, muss dabei eine Passkey-Abfrage bestehen. Reines Passwort, SMS-Code oder eine Authenticator-App reichen dafür nicht mehr aus. Bestehende Token laufen unverändert weiter, und Dienstkonten sind von der Regel ausgenommen.
Der entscheidende Punkt ist, dass am 5. August selbst nichts kaputtgeht. Bestehende Verbindungen holen sich weiterhin ganz normal ihre Zugriffstoken, deine Auswertungen und Automatisierungen laufen weiter. Unangenehm wird es erst beim nächsten Mal, wenn eine Verbindung neu aufgesetzt werden muss.
Genau das passiert häufiger, als man denkt. Ein Token verliert seine Gültigkeit, ein Tool wird neu verbunden, ein Dienstleister wechselt, oder du richtest ein neues Reporting ein. In dem Moment steht die Anmeldung im Weg, und wenn dann noch kein Passkey vorhanden ist, kommt die Wartezeit von bis zu sieben Tagen obendrauf.
Für dich heißt das praktisch, dass jeder, der bei dir oder für dich mit der API arbeitet, denselben Passkey braucht wie für die sensiblen Aktionen im Konto. Das betrifft typischerweise Reporting-Werkzeuge, Dashboards, Skripte für den Datenexport und Anbindungen an ein CRM. Wer solche Verbindungen betreibt, sollte den Passkey nicht erst einrichten, wenn eine davon stillsteht.
Was sich für die nächsten Monate noch ändern wird
Der 19. August ist nur der Anfang. Google fährt die Passkey-Anforderung schrittweise hoch und wird mit hoher Wahrscheinlichkeit über die kommenden zwölf Monate weitere Aktionen einbeziehen. Dass der ursprünglich angekündigte Termin im Juli bereits gestaffelt nachgezogen wurde, zeigt: Google steuert den Rollout kontobezogen, und die Ankündigung kommt jeweils per E-Mail. Wer jetzt einsteigt, ist auch für die nächsten Stufen vorbereitet. Wer wartet, holt jede Stufe einzeln nach.
Parallel ist die Empfehlung weiterhin: Aktive Zwei-Faktor-Authentifizierung, regelmäßige Prüfung der Zugriffe unter „Verwaltung” und „Zugriff und Sicherheit”, und ein dokumentierter Prozess, wie mit unerwarteten Einladungen oder Anfragen umgegangen wird. Passkey ersetzt diese Schritte nicht, er ergänzt sie.
Deine Checkliste
Empfohlener Ablaufplan für die Vorbereitung:
- Eigenen Passkey jetzt einrichten. Im Google-Konto unter „Sicherheit” einen Passkey für dein Hauptgerät anlegen, idealerweise plus ein zweites Gerät als Backup. Die Wartezeit von bis zu 7 Tagen einkalkulieren.
- Team und externe Berater informieren. Allen Personen mit Admin-Zugriff auf das Google Ads Konto eine kurze Erinnerung schicken, dass ihr Passkey vor dem 19. August eingerichtet und einsatzbereit sein soll.
- Aktive Zugriffe prüfen. In Google Ads unter „Verwaltung” und „Zugriff und Sicherheit” alle aktiven Zugriffe durchgehen und unbekannte Konten entfernen.
- Backup-Login dokumentieren. Festhalten, welche Geräte für welches Konto als Passkey-Quelle eingerichtet sind, damit bei Geräte-Wechsel oder Verlust schnell reagiert werden kann.
- Sicherheits-Routine etablieren. Einen festen Quartals-Termin im Kalender, um Zugriffe, Passkeys und Sicherheits-Einstellungen zu prüfen.
Häufige Fragen zur Passkey-Pflicht
Ist die E-Mail von Google zur Passkey-Pflicht echt?
Ja. Google verschickt seit Juli 2026 offizielle Servicemitteilungen mit dem Hinweis auf den Stichtag 19. August. Absender ist das Google Ads-Team, der Versand läuft über die üblichen Google-Adressen. Zur Sicherheit gilt trotzdem: Nicht auf den Button in der Mail klicken, sondern myaccount.google.com selbst im Browser aufrufen und den Passkey dort einrichten.
Brauche ich ab dem 19. August einen Passkey für den Login?
Nein. Der normale Login in Google Ads bleibt unverändert, auch deine Kampagnen laufen ohne Passkey weiter. Der Passkey wird nur für sensible Aktionen verlangt, etwa wenn du Nutzer hinzufügst, Konten verknüpfst oder Zahlungsinformationen änderst.
Warum sollte ich den Passkey nicht erst kurz vor dem Stichtag einrichten?
Ein neu erstellter Passkey kann bis zu 7 Tage brauchen, bis er für sensible Aktionen einsatzbereit ist. Diese Schutzfrist verhindert, dass Angreifer mit einem frisch angelegten Passkey sofort kritische Änderungen durchführen. Wer erst Mitte August einrichtet, steht am Stichtag ohne funktionierenden Passkey da.
Was passiert, wenn ich am 19. August keinen Passkey habe?
Dein Konto läuft normal weiter. Sensible Aktionen wie das Hinzufügen von Nutzern oder das Verknüpfen von Konten sind aber blockiert, bis ein Passkey eingerichtet und einsatzbereit ist. Google führt dich in dem Moment durch die Einrichtung, die Wartezeit lässt sich dabei aber nicht abkürzen.
Gilt die Passkey-Pflicht auch für die Google Ads API?
Ja, seit dem 5. August 2026. Betroffen ist die Erzeugung neuer OAuth-Refresh-Token, etwa wenn ein Reporting-Werkzeug oder eine Schnittstelle neu verbunden wird. Bestehende Token laufen unverändert weiter, und Dienstkonten sind ausgenommen. Auch hier gilt die Wartezeit von bis zu sieben Tagen für einen frisch angelegten Passkey.
Verlierst du mit Google Ads mehr Geld, als du solltest?
Benjamin Häntzschel
Google Ads, KI & Conversion-Optimierung
