Google Ads Zugriff für Agenturen: Rollen und Sicherheit

Wie funktioniert Google Ads Zugriff für eine Agentur?

Google Ads Zugriff für eine Agentur ist die Berechtigung, die der Agentur erlaubt, in Ihrem Werbekonto zu arbeiten, während das Konto Ihnen gehört. Für den Google Ads Zugriff haben Sie zwei Wege: Sie laden die Agentur als Nutzer ein, oder Sie verknüpfen deren Verwaltungskonto (MCC) mit Ihrem Konto.

Daher behandelt dieser Beitrag nur die technische Seite und die Sicherheit. Was eine Betreuung inhaltlich leistet, lesen Sie in unserem Beitrag über die Leistungen der Google Ads Betreuung. Außerdem ändern sich Menünamen mit der Zeit, deshalb nennen wir keine festen Schaltflächen. Prüfen Sie also die aktuellen Schritte immer in der Google Ads Hilfe.

Was unterscheidet eine Nutzereinladung von einer Verknüpfung mit dem Verwaltungskonto?

Eine Nutzereinladung gibt einer einzelnen Person eine bestimmte Zugriffsebene in Ihrem Konto. Eine Verknüpfung mit dem Verwaltungskonto verbindet dagegen das Managerkonto der Agentur mit Ihrem Konto. Die Agentur sieht dann viele Kundenkonten an einem Ort. Denn Sie bestätigen die Anfrage selbst und können sie jederzeit beenden.

In der Praxis zeigt sich der Unterschied beim Personalwechsel. Verlässt eine eingeladene Person die Agentur, bleibt der Zugriff an dieser Adresse hängen. Bei einer Verknüpfung kann dann ein anderer Mitarbeiter der Agentur übernehmen. Deshalb bevorzugen größere Agenturen meist die Verknüpfung.

Die Tabelle zeigt also nur einen allgemeinen Rahmen. Manche Agenturen nutzen beide Wege gleichzeitig, also klären Sie den Ablauf vor dem Start.

Welche Zugriffsebene sollten Sie für den Google Ads Zugriff wählen?

Die Google Ads Hilfe nennt fünf Zugriffsebenen: nur E-Mail, Abrechnung, schreibgeschützt, Standard und Administrator. Wählen Sie daher die niedrigste Ebene, mit der die Agentur ihre Arbeit erledigen kann. Für die tägliche Kampagnenarbeit reicht meist der Standardzugriff.

Die Administratorebene darf zudem anderen Zugriff geben oder ändern. Deshalb ist sie für eine Agentur am ersten Tag meist nicht nötig. Allerdings können die deutschen Bezeichnungen in der Oberfläche leicht abweichen.

Wie laden Sie eine Agentur als Nutzer ein?

Zunächst brauchen Sie zum Einladen selbst Administratorzugriff. Öffnen Sie den Verwaltungsbereich und suchen Sie den Abschnitt für Zugriff und Sicherheit. Dann fügen Sie einen neuen Nutzer hinzu, tragen die Adresse der Agentur ein und wählen eine Zugriffsebene. Zuletzt senden Sie die Einladung ab.

Der Google Ads Zugriff beginnt allerdings erst, sobald die eingeladene Person die Einladung bestätigt. Denn Bezeichnungen unterscheiden sich je nach Sprache der Oberfläche. Finden Sie einen Abschnitt nicht, dann schauen Sie in die Google Ads Hilfe.

• Nutzen Sie die geschäftliche Adresse der Agentur oder das genannte Google Konto, keine private Adresse.
• Verlangen Sie für jeden Mitarbeiter der Agentur eine eigene Einladung.
• Starten Sie mit schreibgeschütztem oder Standardzugriff und erhöhen Sie nur bei Bedarf.
• Prüfen Sie nach dem Senden, ob die Adresse in der Nutzerliste stimmt.

Deshalb gilt: Eine Einladung an eine falsch getippte Adresse kann Fremden Zugriff öffnen. Lassen Sie sich die Adresse daher vorher schriftlich bestätigen.

Wie verknüpfen Sie das Verwaltungskonto (MCC) der Agentur mit Ihrem Konto?

Google beschreibt ein Verwaltungskonto als Werkzeug, mit dem Sie mehrere getrennte Google Ads Konten an einem Ort verknüpfen und verwalten. Konkret startet die Agentur die Verknüpfung. In ihrem Managerkonto wählt sie die Option, ein bestehendes Konto zu verknüpfen, gibt Ihre Kundennummer ein und sendet die Anfrage.

Sie öffnen dann in Ihrem Konto den Bereich für Zugriff und Sicherheit und finden die offene Anfrage im Tab für Manager. Prüfen Sie die Anfrage, dann bestätigen Sie sie. Danach erhalten beide Seiten eine Bestätigung per E-Mail, und Ihr Konto erscheint im Panel der Agentur.

1. Senden Sie der Agentur Ihre Kundennummer. Es ist die zehnstellige Zahl in Ihrem Konto.
2. Bitten Sie die Agentur, die Verknüpfungsanfrage zu senden.
3. Prüfen Sie, ob der Name des Managerkontos zu den Angaben der Agentur passt.
4. Bestätigen Sie die Anfrage und prüfen Sie die Zugriffsebene.

Die Kontrolle bleibt also bei Ihnen. Die Agentur kann anfragen, aber ohne Ihre Zustimmung verknüpft nichts.

Warum sollte das Konto trotz Google Ads Zugriff Ihrem Unternehmen gehören?

Ihr Werbekonto speichert Verlauf, Zielgruppen, Conversion Einrichtung und Zahlungsart. Zusammen bilden sie daher einen digitalen Wert. Liegt das Konto in der Struktur der Agentur, dann wird ein späterer Umzug schwierig und manchmal unmöglich.

Wir empfehlen deshalb, das Konto mit Ihrem eigenen Google Konto und Ihren Unternehmensdaten zu eröffnen. Die Agentur erhält dann nur Google Ads Zugriff. Wechseln Sie später die Agentur, dann bleibt der Verlauf bei Ihnen. Das gilt zum Beispiel auch bei einem Streit zwischen den Parteien.

• Eröffnen Sie das Konto mit einer geschäftlichen Adresse, nicht mit einer privaten.
• Benennen Sie mindestens zwei Administratoren. Auch Google warnt vor nur einem Administrator.
• Hinterlegen Sie die Zahlungsart auf den Namen Ihres Unternehmens.
• Notieren Sie Kundennummer und Kontodaten in Ihren eigenen Unterlagen.

Das ist auch der Arbeitsgrundsatz von Talha Aslan und Team: Das Konto bleibt beim Kunden, wir erhalten Zugriff. Es beschreibt also unsere Arbeitsweise, nicht ein Ergebnis.

Welche Sicherheitsschritte sind beim Google Ads Zugriff am wichtigsten?

Zunächst melden sich alle mit ihrem eigenen Google Konto an. Danach aktivieren Sie die Bestätigung in zwei Schritten für Ihre Konten und bitten die Agentur um dasselbe. Außerdem begrenzen Sie die Zugriffsebene auf die Aufgabe. Somit bleibt der Schaden klein, selbst wenn jemand ein Konto kapert.

• Aktivieren Sie die Bestätigung in zwei Schritten für alle mit Administratorzugriff.
• Prüfen Sie die Nutzerliste mindestens alle drei Monate.
• Entfernen Sie Personen sofort, die nicht mehr am Konto arbeiten.
• Lassen Sie sich schriftlich bestätigen, dass das Agenturteam ebenfalls die Bestätigung in zwei Schritten nutzt.
• Kontrollieren Sie bei verdächtigen Hinweisen zuerst die Zugriffsliste.

Denn ein schwach gesichertes Google Konto macht auch das Werbekonto schwach. Für den Ernstfall lesen Sie unseren Beitrag zu gesperrten Google Ads Konten.

Warum ist ein geteiltes Passwort der falsche Weg?

Ein gemeinsames Login gibt der Agentur Ihre gesamte Google Identität, nicht nur das Werbekonto. Trennen Sie sich später, dann müssen Sie das Passwort ändern, und währenddessen sind alle verbundenen Dienste gefährdet. Einladungen und Verknüpfungen gibt es also genau dafür.

Außerdem gilt: Das Konto einer anderen Person zu nutzen oder die Verifizierung zu umgehen, kann Google als Umgehung seiner Systeme einstufen. Das gefährdet zudem Ihr Konto. Eine seriöse Agentur verlangt daher kein Passwort.

• Hinterfragen Sie jede Agentur, die nach einem Passwort fragt.
• Laden Sie Nutzer ein, statt Ihr eigenes Login zu übergeben.
• Binden Sie den Zugriff an eine Rolle, nicht an Zugangsdaten einer Person.

Wer sollte Zahlung und Abrechnung kontrollieren?

Zahlungsdaten sind Ihre Finanzdaten, deshalb müssen Sie der Agentur keinen Abrechnungszugriff geben. Zahlen Sie mit Ihrer eigenen Karte oder Ihrem eigenen Zahlungsprofil, dann behalten Sie auch die Ausgaben im Griff.

Manche Unternehmen nutzen dagegen die Karte der Agentur. Dann gehören Ausgaben und Rechnungsablauf in eine schriftliche Vereinbarung. Wir arbeiten deshalb lieber mit der Zahlungsart des Kunden.

• Legen Sie das monatliche Budgetlimit schriftlich mit der Agentur fest.
• Prüfen Sie Rechnungen und Zahlungen regelmäßig selbst.
• Fragen Sie bei steuerlichen Fragen Ihren Steuerberater. Dieser Beitrag ist keine Steuer oder Rechtsberatung.

Für die Planung eines Limits hilft unser Google Ads Budget Rechner.

Wie geben Sie einer Agentur Zugriff auf Google Analytics?

Der Zugriff auf Google Analytics läuft getrennt von Google Ads. Wer in der Property Administrator ist, kann dann die Agentur als Nutzer hinzufügen. Um Werbeleistung zu lesen, genügt meist eine Rolle zum Bearbeiten oder Ansehen. Prüfen Sie die aktuellen Rollennamen allerdings in der Analytics Hilfe.

Oft muss die Agentur Analytics Daten auch mit Google Ads verknüpfen. Dafür sind außerdem meist auf beiden Seiten Administratorrechte nötig. Bleiben Sie deshalb selbst Administrator.

• Vergeben Sie Zugriff auf Ebene der Property, nicht auf das ganze Konto.
• Notieren Sie die vergebene Rolle.
• Prüfen Sie in der ersten Woche gemeinsam, ob Conversions korrekt messen.

Die Grundlagen finden Sie im Beitrag Was ist GA4 und welche Vorteile hat es.

Welche Checkliste gilt für Tag Manager und Merchant Center?

Ein Werbekonto arbeitet nicht allein. Denn es braucht Tags, Produktdaten und Messung. Jedes Werkzeug hat eine eigene Zugriffsliste, also wenden Sie dieselbe Disziplin überall an.

Zu Tags lesen Sie unsere Anleitung zum Google Tag Manager. Zu Produktdaten passt der Beitrag über Google Shopping und das Merchant Center.

Wie nehmen Sie den Google Ads Zugriff zurück, wenn Sie die Agentur wechseln?

Trennen Sie sich von einer Agentur, dann schließen Sie den Google Ads Zugriff in klarer Reihenfolge. Zunächst listen Sie alle aktiven Nutzer und Verknüpfungen auf. Dann geben Sie der neuen Agentur, was sie braucht. Zuletzt entfernen Sie dann die alte Agentur, sobald die Übergabe abgeschlossen ist.

1. Listen Sie im Bereich für Zugriff und Sicherheit alle Nutzer und Verknüpfungen auf.
2. Entfernen Sie die Nutzer der alten Agentur einzeln.
3. Entfernen Sie die Verknüpfung, falls es eine gibt.
4. Wiederholen Sie die Bereinigung in Analytics, Tag Manager und Merchant Center.
5. Übergeben Sie Kampagnenaufbau, Conversion Definitionen und Zielgruppen mit Dokumentation.
6. Prüfen Sie die Nutzerliste nach zwei Wochen noch einmal.

Haben Sie das Konto selbst eröffnet, dann verlieren Sie keine Daten. Lag es in der Struktur der Agentur, dann müssen Sie den Verlauf eventuell exportieren.

Was sollten Sie die Agentur vor der Freigabe fragen?

Ein paar klare Fragen verhindern also die meisten späteren Probleme. Die Antworten zeigen außerdem, wie die Agentur arbeitet. Denn eine ehrliche Agentur beantwortet sie ohne Zögern.

• Wer eröffnet das Konto, und auf wessen Namen läuft es?
• Welche Zugriffsebene brauchen Sie, und warum?
• Wie viele Personen haben Zugriff, und nutzen alle die Bestätigung in zwei Schritten?
• Welche Übergabe von Daten und Aufbau planen Sie, falls wir uns trennen?
• Wie informieren Sie uns über Änderungen?

Eine längere Liste bietet unser Beitrag zur Checkliste für SEO und Google Ads Beratung.

Wie trennen Sie den Zugriff bei mehreren Agenturen?

Manche Unternehmen beauftragen zum Beispiel getrennte Teams für Werbung, SEO und Webdesign. Allen denselben Zugriff zu geben, ist ein Fehler, denn jedes Team braucht nur die eigenen Werkzeuge. Ein SEO Team muss zum Beispiel keine Kampagnen bearbeiten.

Bauen Sie deshalb eine Zugriffsmatrix. Schreiben Sie die Werkzeuge in die Zeilen, die Teams in die Spalten und tragen Sie in jede Zelle die niedrigste nötige Rolle ein. Somit sehen Sie auf einen Blick, wer worauf zugreift. Geht ein Team, dann entfernen Sie nur dessen Spalte.

• Das Werbeteam erhält Google Ads und Tag Manager.
• Search Console und Analytics gehen an das SEO Team, aber nicht das Werbekonto.
• Das Webdesign Team erhält nur Zugriff auf die Website.
• Aktualisieren Sie die Matrix alle drei Monate und notieren Sie das Datum.

Was passiert, wenn Ihr eigener Administrator das Unternehmen verlässt?

Denn viele Zugriffsprobleme entstehen im eigenen Haus, nicht bei der Agentur. Zum Beispiel verlässt der Mitarbeiter, der das Konto angelegt hat, die Firma, und er war der einzige Administrator. Google warnt, dass Sie bei nur einem Administrator den Zugriff verlieren können, wenn diese Person ausfällt.

Binden Sie die Administratorrolle daher an eine Position, nicht an eine Person. Der Inhaber und eine leitende Person können zum Beispiel beide Administrator mit geschäftlicher Adresse sein. Schließen Sie die Übergabe außerdem ab, bevor der Mitarbeiter geht.

1. Listen Sie die Werkzeuge auf, in denen die scheidende Person Administrator ist.
2. Fügen Sie die Vertretung als Administrator hinzu.
3. Entfernen Sie den Zugriff der scheidenden Person.
4. Legen Sie die Zahlungsart auf eine Firmenkarte um, falls sie an einer privaten hing.

Woran erkennen Sie eine gefälschte Zugriffsanfrage?

Allerdings kommt nicht jede Verknüpfungsanfrage von Ihrer Agentur. Manchmal verschicken Betrüger Mails, die Einladungen oder Anfragen von Managerkonten nachahmen. Prüfen Sie daher die Quelle, bevor Sie etwas bestätigen.

Die Regel ist einfach: Bestätigen Sie keine Anfrage, die Sie nicht erwartet haben. Auch nach einem Gespräch mit der Agentur klären Sie Name und Nummer des Managerkontos über einen zweiten Kanal, zum Beispiel per Telefon. Somit versteckt sich keine Fälschung hinter dem Namen einer echten Agentur.

• Melden Sie sich direkt in Ihrem Konto an, statt dem Link in der E-Mail zu folgen.
• Prüfen Sie offene Anfragen nur im Bereich für Zugriff und Sicherheit.
• Lehnen Sie Anfragen von Managerkonten ab, die Sie nicht kennen.
• Prüfen Sie bei Verdacht sofort die Nutzerliste und die Zahlungseinstellungen.

Was richten Sie in der ersten Woche gemeinsam mit der Agentur ein?

Die Freigabe ist also nur der Anfang. In der ersten Woche prüfen Sie, ob das Konto auf einer soliden Basis steht. Halten Sie dazu ein kurzes Startgespräch und gehen Sie den aktuellen Stand gemeinsam durch.

Danach kontrollieren Sie die Messung. Zählen Conversions falsch, dann folgt die Optimierung dem falschen Signal. Vereinbaren Sie außerdem Budgetlimit, Berichtsrhythmus und Kontaktweg. Somit vermeiden Sie in den Folgemonaten Unklarheit.

• Sichern Sie eine Kopie der aktuellen Kampagnen und Conversion Einrichtung.
• Bestätigen Sie schriftlich, was jedes Conversion Ereignis zählt.
• Legen Sie Format und Termin der Berichte fest.
• Vereinbaren Sie eine Freigaberegel, etwa dass Budgeterhöhungen Ihre Zustimmung brauchen.

Wie behalten Sie das Konto nach der Freigabe im Blick?

Vertrauen heißt allerdings nicht, die Kontrolle abzugeben. Denn eine leichte, regelmäßige Prüfung erhält Vertrauen und Transparenz. Kontrollieren Sie Nutzerliste, Änderungsverlauf und Zahlungseinstellungen nach festem Plan.

Google Ads protokolliert Änderungen im Konto, und Sie können diesen Verlauf ansehen. Menünamen können sich ändern, also prüfen Sie den aktuellen Weg in der Hilfe. Vergleichen Sie einmal im Monat den Änderungsverlauf mit dem Bericht der Agentur. Fehlt dort eine Budget oder Gebotsänderung, dann fragen Sie nach.

Für einen schnellen Überblick nutzen Sie unser Google Ads Audit Tool.

• Steht eine unbekannte Adresse in der Nutzerliste?
• Passen Budget und Gebotsstrategie zu Ihrer Erwartung?
• Sind automatisch angewendete Empfehlungen aktiv? Lesen Sie dazu, wie Sie automatisch angewendete Empfehlungen deaktivieren.
• Funktioniert das Conversion Tracking noch?

Welche Klauseln zum Zugriff gehören in den Vertrag?

Ein Vertrag zählt vor allem dort, wo mündliche Zusagen verblassen. Daher schützen wenige einfache Klauseln Ihr Unternehmen. Dieser Abschnitt ist ein allgemeiner Rahmen und keine Rechtsberatung, also lassen Sie verbindliche Formulierungen von einem Anwalt prüfen.

• Konto, Zahlungsart und Daten gehören Ihrem Unternehmen.
• Das Agenturteam nutzt nur den Zugriff, den die Arbeit braucht.
• Nach Vertragsende entfällt der Zugriff innerhalb einer festen Frist.
• Aufbaudokumente und Conversion Definitionen gehen an Sie über.
• Alle Mitarbeiter der Agentur nutzen die Bestätigung in zwei Schritten.

Mit diesen Klauseln greift somit im Moment der Trennung ein schriftlicher Ablauf statt eines Streits.

Welche Zugriffsfehler sehen wir am häufigsten?

Denn die häufigsten Fehler sind einfach und leicht zu verhindern. Sie entstehen also meist unter Zeitdruck oder durch blindes Vertrauen. Die Liste beruht auf Beispielszenarien, nicht auf Statistik.

• Das Konto liegt im Managerkonto der Agentur und läuft auf deren Namen.
• Es gibt nur einen Administrator, und er verlässt die Firma.
• Mitarbeiter der Agentur teilen sich ein Login.
• Der Zugriff der alten Agentur bleibt für immer bestehen.
• Die Bestätigung in zwei Schritten ist ausgeschaltet.
• Zugriffe auf Analytics und Tag Manager geraten in Vergessenheit.

Beispielszenario: Ein Unternehmen wechselt die Agentur und vergisst, den alten Nutzer zu entfernen. Monate später hat dieser Nutzer dann noch Standardzugriff. Deshalb schließt eine regelmäßige Prüfung der Nutzerliste diese Lücke. Eine breitere Liste finden Sie unter Google Ads Fehler, die Budget verbrennen.

Welche Verwechslungen gibt es bei den Zugriffsebenen?

Die erste Verwechslung betrifft Administrator und Kontoinhaber. Der Administrator verwaltet Nutzer im Konto. Der Inhaber dagegen ist das Unternehmen, auf dessen Namen und Zahlungsprofil das Konto läuft. Wenn Sie also einer Agentur Administratorrechte geben, übergeben Sie das Konto nicht, aber Sie sollten die Rechte trotzdem sorgfältig abwägen.

Die zweite Verwechslung betrifft den schreibgeschützten Zugriff. Er erlaubt keine Änderungen, zeigt aber Ihre Leistungsdaten. Deshalb vergeben Sie ihn nur an Personen, denen Sie vertrauen. Außerdem gilt: Die Abrechnungsebene zeigt keine Kampagnendaten, sondern nur den Zahlungsbereich.

• Die Ebene nur E-Mail ändert nichts im Konto.
• Der Standardzugriff umfasst keine Nutzerverwaltung und keine Produktverknüpfungen.
• Die Administratorebene darf anderen Zugriff geben.
• Die Abrechnungsebene betrifft nur Zahlungen.

Prüfen Sie deshalb den genauen Umfang jeder Ebene in der aktuellen Tabelle der offiziellen Hilfe.

Wie sieht ein Beispielplan für ein kleines Unternehmen aus?

Beispielszenario: Ein Onlineshop mit einem Standort möchte seine Anzeigen von einem externen Team betreuen lassen. Das Konto liegt beim Google Konto des Inhabers. Neben dem Inhaber ist auch die Buchhaltung als Administrator eingetragen. Dadurch hängt der Zugriff nicht an einer einzigen Person.

Das Unternehmen lädt die Agentur mit Standardzugriff ein, und zwar je Mitarbeiter einzeln. Für Analytics und Tag Manager vergibt es getrennte Rollen. Die Zahlung läuft über die Karte des Unternehmens. Alle drei Monate prüft es die Nutzerliste.

Der Plan ist nur ein Beispiel. Ihr Unternehmen hat womöglich andere Anforderungen, doch das Prinzip bleibt gleich: jeweils die niedrigste nötige Berechtigung.

Wie oft sollten Sie den Google Ads Zugriff überprüfen?

Wir empfehlen eine feste Prüfung alle drei Monate, denn Teams ändern sich schneller, als man denkt. Außerdem lohnt sich eine Prüfung nach jedem Personalwechsel auf beiden Seiten. Der Google Ads Zugriff bleibt nur sicher, wenn die Nutzerliste zur Realität passt.

Planen Sie dafür einen Kalendereintrag ein. Dann gehen Sie die Liste Zeile für Zeile durch und fragen bei jeder Adresse: Arbeitet diese Person noch am Konto? Braucht sie diese Ebene wirklich? Wenn nicht, senken Sie die Ebene oder entfernen Sie den Zugriff.

Dieselbe Routine gilt für Analytics, Tag Manager und Merchant Center. Kurz gesagt: Ein kurzer Termin im Quartal verhindert die meisten Probleme, die wir sonst sehen.

Wie fassen Sie alles in einer Checkliste zusammen?

Die folgende Liste fasst zusammen, was Sie vor und nach der Freigabe tun. Drucken Sie sie aus, dann gehen Sie sie im ersten Gespräch mit der Agentur durch. Prüfen Sie zudem aktuelle Menünamen stets in der offiziellen Hilfe.

1. Legen Sie fest, welches Google Konto Ihres Unternehmens das Werbekonto besitzt.
2. Benennen Sie mindestens zwei Administratoren und aktivieren Sie bei beiden die Bestätigung in zwei Schritten.
3. Wählen Sie die niedrigste Zugriffsebene, die die Agentur braucht.
4. Entscheiden Sie zwischen Nutzereinladung und Verknüpfung mit dem Verwaltungskonto.
5. Verlangen Sie für jeden Mitarbeiter einen eigenen Zugriff und teilen Sie nie Passwörter.
6. Vergeben Sie Rollen in Analytics, Tag Manager und Merchant Center einzeln.
7. Vereinbaren Sie Zahlungsart und Budgetlimit schriftlich.
8. Prüfen Sie die Nutzerliste alle drei Monate.
9. Entfernen Sie beim Agenturwechsel alle Zugriffe der Reihe nach und dokumentieren Sie das.

Für die Erfolgsmessung helfen unser UTM Generator und der ROAS Rechner. Möchten Sie Ihr Konto gemeinsam aufsetzen, lesen Sie unsere Leistung Google Ads Verwaltung.