Google führt eine neue Sicherheitsanforderung für Entwickler und Plattformen ein, die die Google Ads API zur Generierung von OAuth 2.0-Aktualisierungstoken nutzen. Ab Anfang August müssen sich alle Nutzer, die neue Token über die API erstellen, während des Generierungsprozesses mit einem Passkey authentifizieren. Diese Aktualisierung des Google Ads-Entwickler-Ökosystems stellt eine der bedeutendsten Änderungen an der API in jüngster Zeit dar.
Das Update ist Teil von Googles Sicherheitsinitiative zum besseren Schutz von Konten. Während es für Werbetreibende im Alltag voraussichtlich keine Auswirkungen haben wird, kann es Entwickler, Agenturen und SaaS-Anbieter erheblich beeinträchtigen. Alle, die technisch mit der Google Ads API arbeiten, müssen sich auf diese Änderung vorbereiten.
Wenn die Einführung beginnt
Die Verwendung eines Passkeys wird ab dem 5. August verpflichtend. An diesem Datum beginnt die schrittweise Einführung für alle Nutzer. Entwickler und Unternehmen, die die Google Ads API verwenden, sollten sich darauf einstellen, dass das Update in den Wochen nach dem 5. August in ihren Konten verfügbar sein wird. Alle Nutzer, die den Standard-OAuth-2.0-Authentifizierungsprozess für die Google Ads API verwenden, werden nach diesem Datum von der Änderung betroffen sein.
Ab dem angegebenen Datum ist für die Erstellung neuer OAuth-Aktualisierungstoken über die Google Ads API ein Passkey erforderlich, um den Autorisierungsprozess sicherzustellen. Das bedeutet, dass alle Personen und Organisationen, die regelmäßig die Programmierschnittstelle (API) von Google Ads nutzen, von den oben beschriebenen Änderungen betroffen sind.
Was das für Entwickler bedeutet
Im Zuge dieses Updates werden Passwörter und Zwei-Faktor-Authentifizierungscodes durch Passkeys ersetzt. Benutzer, die noch keinen Passkey eingerichtet haben, werden bei der Authentifizierung dazu aufgefordert.
Das oben beschriebene Update ist zweifellos bedeutend. Google ersetzt unsichere Authentifizierungsmethoden durch eine bewährte, sichere Alternative. Wie bereits erwähnt, nutzen Passkeys kryptografische Schlüssel. Sie erhöhen die Sicherheit, da der private Schlüssel eines Nutzers ausschließlich auf dessen Gerät generiert und gespeichert wird. Dadurch muss der Nutzer keinen Code eingeben oder bestätigen, da dieser bereits auf seinem Gerät vorhanden ist. Plattformen, die Authentifizierungsdienste für ihre Kunden anbieten, müssen ihren Onboarding-Prozess entsprechend anpassen.
Vorhandene vs. neue OAuth-Aktualisierungstoken
Es ist wichtig zu beachten, dass diese Änderung nur neue OAuth-Aktualisierungstoken betrifft. Ihre bestehenden, vor diesem Datum erstellten OAuth-Aktualisierungstoken funktionieren weiterhin. Diese Änderung sollte Ihre bestehenden Prozesse mit der Google Ads API nicht beeinträchtigen. Sie betrifft hauptsächlich Authentifizierungsverfahren, die am oder nach dem oben genannten Einführungsdatum beginnen. Im Wesentlichen wird dieses Update relevant, wenn ein Unternehmen eine neue Integration einrichtet, beispielsweise beim Onboarding eines neuen Werbetreibenden.
Beim Erstellen einer neuen Authentifizierungssitzung müssen Benutzer einen Passkey festlegen oder angeben, um Zugriff auf ihr Konto zu gewähren. Für die meisten Benutzer bedeutet dies lediglich einen kurzen zusätzlichen Schritt. Für Entwickler und Plattformen, die Kundenkonten einrichten, erfordert dies eine Anpassung des Onboarding-Prozesses.
Die siebentägige Vertrauensfrist
Nutzer sollten beachten, dass es bis zu einer Woche dauern kann, bis ein neu erstellter Passkey vollständig als vertrauenswürdig eingestuft wird. Das bedeutet, dass der Passkey zwar funktionsfähig ist, Google ihn aber in der ersten Woche nach seiner Erstellung als nicht vertrauenswürdig behandelt. Google empfiehlt Unternehmen, die im Voraus einen Passkey erstellen, diese Übergangsfrist zu ihrem Vorteil zu nutzen.
Dieser Hinweis richtet sich primär an Entwickler und Plattformen, da Einzelnutzer in der Regel keine automatisierten Prozesse zur Integration neuer Werbekunden einsetzen. Unternehmen, die bestehende Automatisierungstools nutzen, um kurzfristig einen neuen Werbekunden einzurichten, sollten diese potenzielle Verzögerung bei der Integration berücksichtigen. Agenturen, die Werbekunden kurzfristig einrichten, sollten diese Aktualisierung nicht nur als technisches, sondern auch als terminliches Problem betrachten. Agenturen, die einen neuen Werbekunden mit weniger als einer Woche Vorlaufzeit vor Beginn eines anderen passwortabhängigen Prozesses einrichten, sollten diese Verzögerung in ihre Planung einbeziehen.
Wer muss sich tatsächlich vorbereiten?
Wie bereits erwähnt, ist die überwiegende Mehrheit der Nutzer von Google Ads über die Standardoberfläche von diesem Update nicht direkt betroffen. Die Änderungen betreffen hauptsächlich die Nutzung der Google Ads API. Das bedeutet, dass dieses Update vor allem Entwickler, Agenturen und SaaS-Plattformen betrifft, die die Google Ads API regelmäßig in ihrer Arbeit verwenden.
Die Auswirkungen betreffen hauptsächlich Entwickler und Plattformen, die OAuth-Aktualisierungstoken für Google Ads-Konten generieren. Wenn ein Unternehmen die Google Ads API nutzt, um auf Daten zuzugreifen, diese zu ändern oder zu analysieren, wird dieses Update den Onboarding-Prozess beeinflussen. Dies betrifft Entwickler, Agenturen und Plattformen, die Drittanbietersoftware zur Analyse und Interaktion mit Google Ads-Daten anbieten. Jede Integration, die die Verbindung eines Google Ads-Kontos mit einer anderen Anwendung beinhaltet, erfordert die Einrichtung eines Passkeys, sofern nachfolgend nichts anderes angegeben ist.
Eine Ausnahme von dieser Regel besteht für Organisationen, die Servicekonten für ihre Geschäftsprozesse nutzen. Da diese Organisationen nicht den Standard-Benutzerauthentifizierungsprozess verwenden, betrifft sie dieses Update nicht. Für die meisten anderen Organisationen erfordert dieses Update jedoch eine geringfügige Anpassung des Onboarding-Prozesses.
Auch andere Google Ads-Produkte sind betroffen.
Die Änderung des Authentifizierungsverfahrens betrifft auch verschiedene Google Ads-Produkte, die die Google Ads API nutzen. Google Ads Editor, Google Ads Scripts, BigQuery Data Transfer Service und Looker Studio gehören zu den Produkten, die von diesem Update betroffen sind. Alle Nutzer dieser Produkte, die noch keinen Passkey eingerichtet haben, müssen – wie bei der Google Ads API – einen Passkey festlegen.
Die Auswirkungen dieses Updates beschränken sich daher nicht nur auf Entwickler und Agenturen, sondern umfassen alle Nutzer, die diese Produkte verwenden, um auf ihre Google Ads-Daten zuzugreifen und diese zu bearbeiten. Dies schließt auch Standardnutzer ein, die Google Ads Scripts oder Looker Studio verwenden, um ihre Google Ads-Daten zu ändern oder zu analysieren.
Für die meisten Nutzer betrifft dies vor allem ihre zukünftige Nutzung dieser Tools. Unternehmen, die diese Tools einsetzen, müssen lediglich den Onboarding-Prozess für neue Nutzer geringfügig anpassen. Gleiches gilt für Drittanbieterplattformen, die über diese Tools mit der Google Ads API interagieren.
Warum dies für Behörden und andere Organisationen wichtig ist
Die in diesem Blogbeitrag beschriebenen Änderungen betreffen zahlreiche Marketingfachleute. Daher sollten Agenturen mit mehreren Kunden, SaaS-Unternehmen, die die Google Ads API nutzen, sowie Kunden des BigQuery Data Transfer Service und/oder von Looker Studio die bevorstehenden Änderungen ihres Onboarding-Prozesses kennen.
Dieses Update betrifft insbesondere Organisationen, die einen Vermittler für den Zugriff auf Google Ads-Daten nutzen. Viele Unternehmen, die die Google Ads API verwenden, darunter SaaS-Plattformen mit Google Ads-Management-Services, bieten ihre Dienste mehreren Kunden an. Daher ist dieses Update für alle Organisationen relevant, die automatisiert auf Google Ads-Daten über die Google Ads API zugreifen. Für diese Organisationen stellen die in diesem Update beschriebenen Änderungen lediglich eine geringfügige Anpassung der Onboarding-Prozesse für neue Kunden oder Nutzer dar.
Die größte Sorge für Organisationen dieser Kategorie betrifft den Zeitpunkt. Das Update selbst dürfte keine größeren Schwierigkeiten verursachen, da die Einrichtung eines Passkeys nur kurze Zeit in Anspruch nimmt. Ein größeres Problem für Agenturen und andere Organisationen liegt in der Nutzung der oben beschriebenen siebentägigen Vertrauensfrist. Organisationen, die einen neuen Benutzer anlegen und nur wenig Zeit haben, einen neuen Passkey zu autorisieren, bevor ein anderer Prozess mit Google Ads-Autorisierung beginnt, riskieren erhebliche Schwierigkeiten. Für Agenturen, die ihren Kunden, deren Onboarding-Prozesse sich aufgrund dieses Updates unerwartet verlangsamen, Pauschalgebühren in Rechnung stellen, kann dies besonders problematisch sein.
Diese Organisationen sollten sich daher rechtzeitig vorbereiten, um sicherzustellen, dass ihre bestehenden Automatisierungsprozesse für dieses Update angepasst sind. Für bestehende Prozesse kann dieses Update weitgehend ignoriert werden, da es sich nur auf Prozesse bezieht, bei denen ein neues OAuth-Refresh-Token generiert wird. Organisationen, die regelmäßig solche Token generieren, sollten jedoch erwägen, in ihrem Onboarding-Prozess einen Schritt zur Erstellung oder Anforderung eines Passkeys vor dem in diesem Bericht genannten Datum einzurichten.
Fazit
Ab dem 5. August werden Passkeys zum Standardverfahren für die Authentifizierung aller Nutzer der Google Ads API, die neue OAuth 2.0-Aktualisierungstoken generieren möchten. Diese Anforderung wird in den folgenden Monaten für alle Nutzer eingeführt. Entwickler, Agenturen und andere Organisationen, die die Google Ads API nutzen, sollten neue Nutzer rechtzeitig auf das aktualisierte Anmeldeverfahren vorbereiten und dabei insbesondere die siebentägige Vertrauensphase berücksichtigen, falls sie kurz vor dem genannten Datum ein neues Konto einrichten oder einen Autorisierungsprozess starten.
Häufig gestellte Fragen
Frage 1: Ab wann ist die Passkey-Pflicht für die Google Ads API erforderlich?
Es beginnt am 5. August, und Google wird die Anforderung in den folgenden Wochen schrittweise auf alle Nutzer ausweiten.
Frage 2: Gilt dies auch für Werbetreibende, die sich regelmäßig bei Google Ads anmelden?
Nein. Für normale Werbetreibende, die die Google Ads API nicht nutzen, ändert sich nichts, da die Passkey-Anforderung direkt mit dem Authentifizierungsprozess für API-Entwickler verknüpft ist.
Frage 3: Müssen die bestehenden OAuth-Aktualisierungstoken erneut autorisiert werden?
Nein. Die bestehenden OAuth-Aktualisierungstoken funktionieren weiterhin wie bisher und erfordern keine erneute Autorisierung. Die Anforderung zur Generierung eines Passkeys gilt nur für die Erstellung neuer Aktualisierungstoken.
Frage 4: Welche Art von Logins ersetzt der Passkey?
Passkeys ersetzen passwortbasierte Ein-Faktor-Anmeldungen und Zwei-Faktor-Authentifizierungen (SMS-Codes, zeitbasierte Einmalpasswörter). Falls ein Benutzer noch keinen Passkey besitzt, wird dieser automatisch generiert.
Frage 5: Wird eine Meldung angezeigt, wenn ein Benutzer keinen Passkey besitzt?
Ja, es werden Aufforderungen angezeigt, falls ein Benutzer keinen Passkey besitzt. Der Benutzer wird aufgefordert, einen Passkey zu erstellen, während er ein Aktualisierungstoken generiert.
Frage 6: Wie lange beträgt die siebentägige Sicherheitsverzögerung für die Passkeys?
Wird ein Passkey erst kürzlich generiert, unterliegt er einer siebentägigen Sicherheitsverzögerung. Das bedeutet, dass das System dem neu erstellten Passkey sieben Tage lang nicht vertraut. Teams, die Passkeys im Voraus erstellen, haben dieses Problem beim Onboarding ihrer Benutzer nicht.
Frage 7: Hat dies Auswirkungen auf andere Google Ads-Tools?
Ja. Google Ads Editor, Google Ads Scripts, BigQuery Data Transfer Service und Looker Studio erfordern alle eine Authentifizierung mit der Google Ads API, daher müssen Benutzer für den Zugriff Passkeys generieren.
Frage 8: Benötigen Anwendungen mit Dienstkonten Passkeys?
Nein. Dienstkonten sind von der Passkey-Anforderung nicht betroffen, da sie keine Benutzerauthentifizierung durchlaufen.
Frage 9: Wer muss auf diese Veränderung vorbereitet sein?
Entwickler, Agenturen und SaaS-Plattformen, die OAuth-Refresh-Token für ihre Nutzer generieren, müssen ihren Onboarding-Prozess vorbereiten. Auch Teams, die Kundenkonten über Google Ads API-Integrationen und/oder Automatisierung verwalten, müssen entsprechend vorbereitet sein.
Frage 10: Was können Teams tun, um Verzögerungen aufgrund der neuen Anforderung zu vermeiden?
Google empfiehlt, im Voraus einen Passkey zu erstellen, um die siebentägige Vertrauensverzögerung zu vermeiden. So tritt die Verzögerung nicht zu einem ungünstigen Zeitpunkt auf, beispielsweise bei der Einrichtung eines neuen Kundenkontos.
