Google hat die Passkey-Pflicht f\u00fcr den Zugriff auf die Google Ads API am 27.07.2026 angek\u00fcndigt, der Rollout l\u00e4uft seit dem 5. August. Seither taucht in jedem Team-Chat dieselbe Frage in immer neuen Varianten auf: \u201eM\u00fcssen wir unseren OAuth Client neu ausstellen?” Nein. Die Anforderung betrifft die Art, wie sich der User Account hinter einer Autorisierung anmeldet. Der OAuth Client ist von dieser \u00c4nderung nicht betroffen, und bestehende Tokens bleiben g\u00fcltig \u2013 bis dahin h\u00f6rt also nichts auf zu funktionieren. Gefragt ist keine Panikmigration, sondern eine ehrliche Bestandsaufnahme: Welche Integrationen h\u00e4ngen daran, dass sich ein Mensch anmelden kann?<\/p>\n\n\n\n
Die Unterscheidung ist schmal, und sie entscheidet alles Weitere. Wurde eine Integration von einer Person autorisiert, die sich mit ihrem eigenen Google-Konto durch einen Consent Screen geklickt hat, dann f\u00e4llt die Anmeldung dieses Kontos unter die Passkey-Pflicht. L\u00e4uft sie \u00fcber einen Service Account, dann nicht: Service Accounts sind ausgenommen. Gleiche API, gleiche Client Library, gleiche Customer IDs \u2013 der einzige Unterschied ist, wer sich authentifiziert hat.<\/p>\n\n\n\n
Daraus folgen zwei Dinge. Kein Dashboard geht an einem festen Stichtag aus: Bestehende Tokens funktionieren weiter, der kritische Moment ist erst die n\u00e4chste Anmeldung \u2013 etwa nachdem ein Token versehentlich widerrufen wurde oder eine Maschine neu aufgesetzt worden ist. Und das Risiko steckt in Personen, nicht im Code. Kein Repository verr\u00e4t, wer den Refresh Token besitzt.<\/p>\n\n\n\n
Eine Richtigstellung, weil sie sich hartn\u00e4ckig h\u00e4lt: Mehrere Beitr\u00e4ge behaupten, f\u00fcr betroffene Konten gebe es eine siebent\u00e4gige Sperrfrist. Die Ank\u00fcndigung sagt etwas Engeres: Bevor ein neu angelegter Passkey vertrauensw\u00fcrdig und einsatzbereit ist, kann eine Sicherheitsverz\u00f6gerung von sieben Tagen gelten. Das sperrt kein Konto und setzt keine Frist, aber ein Passkey, der erst bei der n\u00e4chsten f\u00e4lligen Anmeldung entsteht, ist dann wom\u00f6glich noch nicht nutzbar.<\/p>\n\n\n\r\n Am Anfang steht etwas, das fast niemand hat: eine schriftliche \u00dcbersicht der eigenen Zug\u00e4nge. Eine YAML-Datei im Repository ist ein Anfang, besser ist eine kleine SQLite-Tabelle, denn sie wird abgefragt werden. Wichtig sind genau die Spalten, die sich in sechs Monaten nicht mehr aus dem Ged\u00e4chtnis rekonstruieren lassen.<\/p>\n\n\n![\"Zwei](\"https:\/\/www.lukaswojcik.com\/blog\/wp-content\/uploads\/diagrams\/hand-adspasskey-de.png\")
\n2. Festhalten, wer was autorisiert<\/h2>\n\n\n\n