Kurz gesagt: Werbekonten werden nicht durch das Erraten von Passwörtern gehackt. Die dokumentierten Zugangswege sind eine gestohlene Browsersitzung, ein Phishing-Proxy, der das Passwort und den Einmalcode weiterleitet, eine gefälschte Manager-Verknüpfung oder Partneranfrage, ein gestohlenes API-Token und Zugriffsrechte, die nie widerrufen wurden. Bei Lynt prüfen wir deshalb sämtliche Google Ads- und Meta-Konten unserer Kunden im 30-Minuten-Takt. Ist das Konto noch aktiv? Haben sich Zahlungsmethode oder Ausgabenlimit geändert? Verweisen die Anzeigen noch auf die Domain des Kunden? Hat jemand Neues Zugriff erhalten? Jede Änderung erscheint in Slack und auf einer internen Seite. Dort genehmigt oder lehnt die verantwortliche Person die Änderung ab. Das Implementierungs-Briefing steht als Download bereit.
Angreifer übernehmen Google Ads- oder Facebook-Werbekonten nicht, indem sie Passwörter erraten. Sicherheitsberichte aus den Jahren 2025 und 2026 beschreiben fünf Zugangswege. Das Passwort ist bei keinem davon der Schwachpunkt.
- Eine gestohlene Browsersitzung. Infostealer-Malware kopiert Cookies aus einem Browser mit aktiver Anmeldung. Recorded Future indexierte 2025 276 Millionen Zugangsdaten mitsamt aktivem Sitzungscookie. Mit einem solchen Cookie braucht ein Angreifer weder ein Passwort noch einen zweiten Faktor (Recorded Future). Angreifer verbreiten Ducktail über gefälschte Stellenangebote im Marketing (WithSecure). Ducktail ist eine eigens für Facebook-Business-Konten entwickelte Malware-Familie.
- Ein Phishing-Proxy trotz Zwei-Faktor-Authentifizierung. Das Opfer gibt das echte Passwort auf einer Seite ein, die wie die echte Website aussieht. Anschließend bestätigt es die Anmeldeaufforderung. Der Proxy behält die Sitzung, die die echte Website daraufhin erstellt. Bis Mitte 2025 steckte ein einziges gemietetes Phishing-Kit hinter 62 Prozent der von Microsoft blockierten Phishing-Versuche (Microsoft). Kriminelle schalteten Google Search-Anzeigen für die Suchanfrage „Google Ads“. Über diese Anzeigen leiteten sie ihre Opfer zu einem solchen Proxy (Malwarebytes).
- Eine gefälschte Einladung. Bei Meta stellt der Angreifer eine Partneranfrage. Der Köder steckt im Unternehmensnamen. Die E-Mail selbst ist eine echte Nachricht von Meta (Huntress). Bei Google sendet der Angreifer eine gefälschte Einladung zur Verknüpfung mit einem Verwaltungskonto. Die Einladung führt das Opfer zu einer nachgebauten Anmeldeseite. Auf diese Weise verloren Agenturen trotz aktivierter Zwei-Faktor-Authentifizierung ganze Verwaltungskonten (Search Engine Land).
- Ein gestohlenes API-Token oder eine App-Berechtigung. OAuth-Berechtigungen und Meta-Systemnutzer-Tokens bleiben nach einem Passwort-Reset gültig. Ein Administrator muss sie explizit widerrufen.
- Nie widerrufene Zugriffsrechte. Dazu zählen der Freelancer von vor zwei Jahren, die vorherige Agentur und der frühere Marketingmanager des Kunden.
Sobald er im Konto ist, fügt der Angreifer einen Administrator hinzu. Außerdem verknüpft er das Konto mit einem übergeordneten Verwaltungskonto. Dann ändert er die Zahlungsmethode oder das Ausgabenlimit. Er startet Kampagnen und leitet die Anzeigen auf eine fremde Domain. Mimecast registrierte allein in der zweiten Hälfte des Jahres 2025 1,86 Millionen Fälle, in denen Werbekontodiebstahl erkannt wurde. Ein gestohlenes Konto wird für einige hundert Dollar verkauft (Mimecast). In den veröffentlichten Fällen entdeckten die Agenturen den Diebstahl selbst, oft erst am nächsten Morgen.
Warum wir einen 30-Minuten-Check gebaut haben
Wir betreuen Kundenkonten bei Google Ads und Meta. Unser früherer Check lief alle 2,5 Stunden und prüfte nur den Nutzerzugriff. In den veröffentlichten Fällen war das Geld innerhalb eines Tages weg. Bei einer Kontoübernahme ändert sich jedoch mehr als nur der Zugriff. Deshalb läuft der Check jetzt alle 30 Minuten und prüft zusätzlich Kontostatus, Zahlungsmethode, Ausgabenlimit, Anzeigenziele und Nutzerzugriff.
Diese Version ging im September 2026 live. Seitdem liest das System alle 30 Minuten jedes betreute Konto auf beiden Plattformen aus. Die Zugriffsrechte in Google Ads liest es sogar alle 18 Minuten aus. Einmal am Tag liest das System jedes Konto zusätzlich vollständig aus. Das erfasst die Daten, die die 30-Minuten-Durchläufe nicht abdecken. Die Software ändert nichts auf den Plattformen. Ein Mensch trifft die Entscheidungen.
Was das System prüft
| Prüfung | Google Ads | Meta |
|---|---|---|
| Ist das Konto aktiv? | Wir lesen den Kontostatus über unser Verwaltungskonto aus. Zu den möglichen Statuswerten gehören „gesperrt“, „storniert“ und „geschlossen“. Die API nennt keinen Grund für eine Sperrung. Der Alarm weist auf diese Einschränkung hin. | Wir lesen den Kontostatus und den Deaktivierungsgrund aus. Dazu gehört auch Metas Kennzeichnung für kompromittierte Konten. |
| Gibt es ein Zahlungsproblem? | Wir erkennen, ob das Kontobudget bei Konten mit Rechnungsstellung ausgeschöpft ist. Die API zeigt weder abgelehnte Kartenzahlungen noch das Prepaid-Guthaben. Der Alarm nennt diese Einschränkung. | Wir erkennen Änderungen an der Finanzierungsquelle. Außerdem erkennen wir, ob das Ausgabenlimit geändert oder zurückgesetzt wurde. Wir sehen auch, ob das Konto wegen eines offenen Betrags als säumig gekennzeichnet ist. |
| Verweisen die Anzeigen noch auf die Domain des Kunden? | Alle 30 Minuten lesen wir Änderungsereignisse und den Landingpage-Bericht für den laufenden Tag aus. Der Check liest geänderte Elemente erneut. Ein täglicher Durchlauf deckt konfigurierte URLs und Tracking-Vorlagen auf jeder Ebene ab. | Alle 30 Minuten lesen wir die Links in jedem aktiven Creative aus. Ein vollständiges Audit läuft täglich. Es erfasst jede Änderung an URL-Parametern. |
| Hat jemand Neues Zugriff erhalten? | Bei jedem Nutzer erfassen wir die Rolle, das Erstellungsdatum und die einladende Person. Wir erfassen auch ausstehende Einladungen. Manager-Verknüpfungen erfassen wir unabhängig von ihrem Status. Das System erkennt eine ausstehende Anfrage vor der Annahme durch den Kunden. Wir scannen unsere eigenen Verwaltungskonten genauso. | Im Aktivitätenprotokoll lesen wir aus, welche Nutzer dem Konto hinzugefügt oder daraus entfernt wurden. Wir erfassen auch hinzugefügte oder entfernte Partnerunternehmen. Bei den täglichen Checks prüfen wir außerdem die Nutzer und Systemnutzer in unserem eigenen Business Manager sowie dessen Zwei-Faktor-Einstellungen. |
| Haben wir unseren eigenen Zugriff verloren? | Wenn ein Konto nicht mehr antwortet, markieren wir es so lange als nicht lesbar, bis es wieder Daten liefert. | Der Verlust einer Berechtigung löst einen Alarm aus. Bei einem ungültigen Token schlägt der Durchlauf fehl und das System meldet den Fehler. |
Das System vergleicht die Ergebnisse jeder Abfrage mit dem vorherigen Snapshot. Jede hinzugefügte, entfernte oder geänderte Zeile wird als Befund erfasst. Für jedes Konto speichert das System einen Berechtigungsfehler als eigenen Status. Es speichert ihn niemals als leeres Ergebnis. Die tägliche Zusammenfassung wird rot, wenn ein Check nicht innerhalb seines vorgesehenen Intervalls ausgeführt wurde.
Wie das Team damit arbeitet
- Zusammenhängende Befunde bei einem Konto werden zu einem Vorfall zusammengefasst. Der Prüfer erhält den Vorfall als Direktnachricht in Slack. Zusätzlich erscheint der Vorfall als einzelner Eintrag im Team-Kanal. Die Nachricht und der Eintrag nennen beide den Kunden und den Spezialisten, der das Konto betreut. Beide enthalten einen Link. Ein Alarm wird erst wiederholt, wenn der Vorfall eskaliert.
- Der Link öffnet eine interne Seite, die nur in unserem Netzwerk erreichbar ist. Auf ihr siehst du das Konto, die Änderung, den vorherigen und den neuen Zustand, den Zeitpunkt der Erkennung und was du prüfen musst.
- Wenn du ein Ereignis genehmigst, zeichnet das System den genauen Umfang auf. Die Genehmigung benennt genau das Erlaubte, zum Beispiel einen bestimmten Nutzer mit einer bestimmten Rolle oder eine bestimmte Domain in einem bestimmten Konto. Eine spätere Änderung erfordert eine neue Prüfung. Wenn du ein Ereignis ablehnst, bleibt der Vorfall als unautorisiert offen. Wenn ein erneutes Auslesen ein Ereignis weder bestätigen noch widerlegen kann, markiert der Prüfer es mit einer Notiz als gelöst.
- Ein Mensch behebt das Problem in Google Ads oder Meta. Der Vorfall wird geschlossen, sobald die nächste vollständige Abfrage bestätigt, dass der unautorisierte Zustand nicht mehr besteht.
- Die Statusseite nennt für jedes Konto den zuständigen Spezialisten. Sie zeigt die letzte erfolgreiche Abfrage. Sie zeigt ausstehende Entscheidungen und die Daten, die wir nicht auslesen können. Eine zweizeilige Zusammenfassung für beide Plattformen geht um 07:00 Uhr an Slack.
Warum diese Entscheidungen
- Alle 30 Minuten. Das API-Kontingent gibt dieses Intervall vor. Jede Abfrage und der Verbrauch unserer anderen Tools belasten dasselbe Kontingent. Der Monitor rechnet seine eigenen Operationen auf dieses Limit an. Er meldet jeden verspäteten Durchlauf.
- Nur Lesezugriff mit menschlicher Genehmigung. Hinter einem neuen Nutzer oder einer neuen Domain steckt oft eine Änderung durch einen Spezialisten oder die neue Agentur des Kunden. Es kann sich aber genauso gut um eine Kontoübernahme handeln. Der Monitor kann diese Fälle nicht unterscheiden. Die verantwortliche Person erkennt den Unterschied meistens innerhalb einer Stunde.
- Fehler werden nie versteckt. Ein Monitor, der unbemerkt ausfällt, ist schlimmer als gar keiner, weil das Team dann nicht mehr selbst nachsieht. Bei einem abgelaufenen Token schlägt der Durchlauf fehl und das System meldet den Fehler. Ein Berechtigungsfehler wird als eigener Status gespeichert und nie als leeres Ergebnis gewertet. Ein Konto, das sich nicht auslesen lässt, wird jeden Tag als nicht lesbar gemeldet.
- Grenzen bei jedem Alarm. Grün darf niemals „wir können es nicht sehen“ bedeuten. Shopping-Produkt-URLs liegen im Merchant Center und sind nicht über die Google Ads API verfügbar. Dynamic Search Ads wählen ihre Landingpage bei der Auslieferung. In unserem eigenen Scan war der Link bei vier von zehn aktiven Meta-Anzeigen in einem Seitenbeitrag gespeichert. Bei Kataloganzeigen liegt der Link im Katalog. Unsere App bräuchte zum Auslesen von Seitenbeiträgen und Katalogen Berechtigungen, die sie nicht hat. Google meldet keine Kartenablehnungen. Den Zwei-Faktor-Status der Kundennutzer können wir auf keiner der beiden Plattformen auslesen. Wir erzwingen die Zwei-Faktor-Authentifizierung stattdessen in den Kontoeinstellungen.
Lade die Checkliste und das Implementierungs-Briefing herunter
Du bekommst eine Datei mit einer Sicherheitscheckliste für das Gespräch mit den Administratoren deiner Google Ads- und Meta-Konten. Außerdem enthält die Datei ein Implementierungs-Briefing für den beschriebenen Monitor. Darin findest du Beispielabfragen für die Google Ads API v23, Abfragen über die Meta API v24, vorgeschlagene Erkennungsregeln und die bekannten Lücken in der Abdeckung. Ein Entwickler muss den Monitor an deine Konten anpassen und dort testen. Gib deine E-Mail-Adresse an und die Datei gehört dir.
Eine Datei, eine Liste. Ich schreibe nur, wenn es etwas zu lesen gibt.
Mein Google Ads-Konto wurde gehackt. Was mache ich zuerst?
Nutze ein vertrauenswürdiges Gerät. Isoliere jeden Computer, bei dem du eine Infektion vermutest. Melde den Vorfall sofort über das Formular für kompromittierte Konten bei Google Ads. Wenn du noch Zugriff hast, pausiere unautorisierte Kampagnen. Speichere den Änderungsverlauf und die Abrechnungsseite als Beweismittel. Entferne bestätigte unautorisierte Nutzer und Manager-Verknüpfungen unter Zugriff und Sicherheit. Wenn du ausgesperrt bist, starte die Wiederherstellung deines Google-Kontos. Setze das Passwort zurück. Prüfe die angemeldeten Geräte und widerrufe Zugriffe von Drittanbietern, die du nicht kennst. Kontrolliere die E-Mail-Adresse und Telefonnummer zur Wiederherstellung sowie die Zahlungsmethoden. Melde unautorisierte Abbuchungen deinem Kartenherausgeber.
Woran erkenne ich ein gehacktes Facebook-Werbekonto oder einen gehackten Business Manager?
Prüfe jeden dir unbekannten Nutzer oder Partner. Prüfe, ob ein Administrator ohne deinen Auftrag entfernt wurde. Kontrolliere jede Änderung der Finanzierungsquelle und jede Kampagne, die du nicht autorisiert hast. Schon einer dieser Fälle ist Grund genug zu handeln. Warte weder auf eine vollständige Abfolge solcher Anzeichen noch auf Metas Kompromittierungswarnung. Nutze die Facebook-Kontowiederherstellung, um das kompromittierte Facebook-Konto zu sichern. Kontaktiere den Meta Business Support wegen der betroffenen Assets. Wenn du noch Zugriff hast, pausiere unautorisierte Anzeigen und entferne bestätigte unautorisierte Zugriffe. Bitte den Unternehmensadministrator, die Integrationen zu prüfen und betroffene Systemnutzer-Tokens zu widerrufen.
Warum hat die Zwei-Faktor-Authentifizierung den Angriff nicht gestoppt?
Über eine gestohlene Sitzung kann ein Angreifer ohne erneuten Login handeln. Das System fordert keinen zweiten Faktor an. Ein Phishing-Proxy leitet dein Passwort und den Einmalcode an die echte Website weiter. Anschließend behält der Proxy die Sitzung, die dort erstellt wird. Passkeys und Hardware-Sicherheitsschlüssel schützen vor dieser Form des Phishings. Eine Sitzung, die bereits von einem infizierten Gerät gestohlen wurde, können sie jedoch nicht schützen. Wenn du die Zugriffsanfrage eines Angreifers genehmigst, ist das ein eigener Fehler. Du hast ihm den Zugriff selbst gewährt.
Können die Google Ads API und die Meta API den Zwei-Faktor-Status von Nutzern melden?
Die Google Ads API v23 zeigt weder den Status der Bestätigung in zwei Schritten für einzelne Nutzer noch die Anforderung auf Kontoebene. Meta stellt Zwei-Faktor-Felder für Unternehmen bereit, die du verwalten darfst. In unserem Test zum Partnerzugriff fehlten diese Felder in der API-Antwort für das Unternehmen eines Kunden. Die API lieferte eine leere Nutzerliste. Werte ein fehlendes Feld als „unbekannt“ und nicht als „deaktiviert“. Prüfe in den Einstellungen, welche Anforderungen für das Kundenkonto gelten.
Wie oft sollte eine Agentur den Zugriff auf Kunden-Werbekonten prüfen?
Richte das Intervall danach aus, wie hoch die möglichen Ausgaben und das Zugriffsrisiko sind und wie schnell jemand reagieren kann. In den veröffentlichten Fällen gaben die Angreifer innerhalb eines einzigen Tages Zehntausende Dollar aus. Ein nächtlicher Check lässt bei einem Konto mit hohen Ausgaben deshalb ein langes Zeitfenster offen. Wir fragen jedes Kundenkonto alle 30 Minuten ab. Eine wöchentliche oder vierteljährliche Zugriffsprüfung eignet sich als Offboarding-Check. Sie erkennt keine laufende Kontoübernahme. Achte deshalb zwischen den Prüfungen auf die Sicherheits- und Abrechnungsbenachrichtigungen der Plattformen.
Sprengen Abfragen im 30-Minuten-Takt das Kontingent der Google Ads API?
Ein kleines Portfolio erreicht das Limit bei Weitem nicht. Die folgenden Berechnungen gehen davon aus, dass jede Abfrage alle 30 Minuten läuft. Bei einem Intervall von 30 Minuten läuft jede der vier Abfragen der Zugriffsrechte 48 Mal pro Tag. Zusammen mit sieben täglichen Abfragen der Anzeigenziele und einer Abfrage der Änderungsereignisse alle 30 Minuten ergibt das 247 Operationen pro Konto und Tag. Darin sind gezielte erneute Abfragen, Wiederholungsversuche und Operationen anderer Tools noch nicht enthalten. Der Basiszugriff erlaubt 15.000 Operationen innerhalb eines gleitenden Zeitraums von 24 Stunden. Damit lassen sich bei 247 Operationen pro Konto höchstens 60 Konten abdecken. Ein größeres Portfolio erfordert ein längeres Abfrageintervall oder den Standardzugriff. Prüfe die Zugriffsebene deines Google Cloud-Projekts. Reserviere Kapazität für die gesamte Arbeitslast.
Starte mit einem Konto. Prüfe die Nutzerliste und die genehmigten Anzeigenziele von Hand. Teste danach, ob Änderungen erkannt werden, wie das System mit einer fehlgeschlagenen Abfrage umgeht und ob der Alarm zugestellt wird. Erweitere den Monitor erst danach auf die übrigen Konten.
