Werbekonto gehackt oder gesperrt: Was du bei Meta und Google Ads jetzt tust

Du öffnest Ads Manager oder Google Ads und siehst Kampagnen, die du nie angelegt hast. Oder du kommst gar nicht mehr hinein. Oder die Kreditkarte der Firma zeigt Abbuchungen für Werbung, die niemand …

Leitfaden

Stand 1. November 2026 · 25 Min. Lesezeit

Entweder haben Fremde dein Konto übernommen, dann heißt es „gehackt“. Oder die Plattform hat dein Konto selbst gestoppt, dann heißt es „gesperrt“. Für beide Fälle haben Meta und Google eigene Wege, die sie auf ihren Hilfeseiten beschreiben.

Keine Plattform sagt zu, dass sie ein Konto zurückgibt. Meta und Google prüfen und entscheiden selbst.

Du verbesserst deine Chancen, indem du schnell, vollständig und über den offiziellen Weg meldest. Das Risiko senkst du vorab, indem du Zugänge und Sicherheitseinstellungen ordnest.

Das Wichtigste in Kürze

Haben Fremde dein Konto übernommen, meldest du es als kompromittiert. Hat die Plattform es gesperrt, beantragst du eine Überprüfung oder legst Einspruch ein²¹³.
Meta antwortet auf das Formular für gehackte Seiten nach eigener Angabe (Stand Oktober 2026) normalerweise innerhalb eines Tages und handelt nur, wenn es bestätigt, dass Fremde die Seite übernommen haben¹⁰.
Google Ads erstattet Abbuchungen für fremde Anzeigen nur, wenn das Konto wiederhergestellt und die Zwei-Faktor-Anmeldung (Passwort plus Code vom Handy) aktiv ist. Wählst du „unverändert wiederherstellen“, gibt es keine Erstattung¹³.
Bei Meta melden sich Personen in der Regel mit ihrem privaten Facebook-Konto in der Firmenverwaltung (Business-Portfolio) an. Deshalb braucht jede Person eine Anmeldung per Fingerabdruck oder Gesichtserkennung (Passkey) oder die Zwei-Faktor-Anmeldung⁶.
Legst du nach einer Sperre einfach ein neues Konto an, riskierst du die dauerhafte Sperre. Google zählt das als Umgehung seiner Regeln¹⁹.

Für wen dieser Artikel ist: Geschäftsführung, Marketing und Buchhaltung in Firmen, die bei Meta oder Google Ads werben, dazu Agenturen, die Werbekonten betreuen, und IT-Verantwortliche.

Woran erkenne ich, dass jemand mein Werbekonto übernommen hat?

Meta und Google nennen ähnliche Warnzeichen.

Warnzeichen bei Meta

Meta nennt für Konten diese Warnzeichen².

Jemand hat E-Mail-Adresse oder Passwort geändert.
Jemand hat Name oder Geburtstag geändert.
Dein Konto schickt Freundschaftsanfragen an Unbekannte.
Nachrichten und Beiträge erscheinen, die du nicht verfasst hast.

Warnzeichen bei Google Ads

Google ergänzt für Google Ads Änderungen an Anzeigen oder Budget, die du nicht kennst, und Abbuchungen auf dem Konto der Zahlungsmethode¹⁸.

Wo du nachsiehst

Bereich	Das fällt dir auf	Wo du nachsiehst
Meta, Zahlungen	Abbuchungen, die du keiner Kampagne zuordnest	Abrechnung, „Payment activity“ (Zahlungsaktivität), dort die Nummer der Buchung (Transaktions-ID) anklicken. Die Quittung zeigt Betrag, Zahlungsmethode und Anzeigen¹
Meta, Personen	Unbekannte Namen unter den Rollen des Werbekontos	Kontoeinstellungen, „Ad account roles“ (Rollen im Werbekonto)¹
Meta, Seite	Du verlierst den Zugriff auf eine Seite, die du verwaltest	Meta nennt zwei Muster. Ein Täter fügt sich über dein persönliches Konto als Admin hinzu und entfernt dich. Oder ein Betrüger bringt dich dazu, ihm die Kontrolle zu überlassen¹⁰
Google Ads, Konto	Budgeterhöhungen oder Regeln, die du nicht kennst, fremde Verwaltungskonten (Manager-IDs)	Änderungsverlauf und „Verknüpfte Manager“. Google bittet dich, Zeitstempel und unbekannte Verwaltungskonto-IDs zu sammeln¹³
Google Ads, Personen	Nutzer, die du nicht eingeladen hast	„Zugriff und Sicherheit“¹⁸

Vergleiche außerdem Kontoauszüge. Google rät bei Verdacht auf Missbrauch der Abrechnungsdaten ausdrücklich zu einem Blick in Bank- oder Kreditkartenabrechnungen¹⁸.

Unbekannte Personen, fremde Kampagnen und Abbuchungen ohne passende Kampagne deuten auf eine Übernahme hin. Sieh dann sofort in Rollen, Änderungsverlauf und Zahlungen nach.

Wurde dein Konto gehackt oder von der Plattform gesperrt?

Die Antwort bestimmt, welchen Weg du gehst. Auf dem falschen Weg verlierst du Tage.

Der Unterschied auf einen Blick

	Gehackt	Gesperrt
Was passiert ist	Fremde haben Zugang erlangt und handeln in deinem Namen	Die Plattform hat dein Konto gestoppt oder eingeschränkt, wegen eines Regelverstoßes, eines Zahlungsproblems oder eines Verdachts
Meta, erster Schritt	Konto oder Seite als kompromittiert melden, bei Seiten über das Wiederherstellungsformular¹⁰	Im Business Support Home, Metas Übersicht für Kontoprobleme, eine Überprüfung beantragen³
Google Ads, erster Schritt	Formular für kompromittierte Konten¹³	Einspruch („Appeal“) über den Link „Kontakt“ in der Benachrichtigung¹⁴
Wer entscheidet	Die Plattform, wenn sie die Kompromittierung bestätigt	Die Plattform, nach Prüfung deiner Angaben

Wenn eine Übernahme zur Sperre führt

Die beiden Fälle können ineinander übergehen. Google schreibt, dass Verstöße durch unbefugte Inhalte des Täters zuerst behoben sein müssen, bevor du Einspruch einlegst¹³.

Google sperrt ein Konto auch vorübergehend selbst, um unbefugte Belastungen zu verhindern. Diese Sperre zählt Google als eigenen Sperrgrund „unautorisierte Kontoaktivität“¹⁴.

Haben Fremde dein Konto übernommen, meldest du es als kompromittiert. Hat die Plattform es gesperrt, legst du Einspruch ein oder beantragst eine Überprüfung.

Was wollen Angreifer mit einem Werbekonto?

Täter brauchen eine hinterlegte Zahlungsmethode, Werbereichweite und eine gewachsene Reputation bei der Plattform. Ein Werbekonto bringt all das mit.

Ein Markt für gestohlene Konten

Guardio beschreibt, wie Täter Konten von Meta-Business-Nutzern stehlen und über einen eigenen Shop weiterverkaufen. Die Forscher nennen das eine „access economy“, einen Markt, in dem Täter Konten, Geschäftsidentitäten und Werbereputation handeln²¹.

Bitdefender nennt als Ziel übernommener Konten Schadsoftware (Malware), Falschinformation und Betrug an Followern, Kunden und Freunden²⁵.

Was die Gegenmaßnahmen der Plattformen über die Täter verraten

Meta schreibt, dass es ein betroffenes Konto schützen kann, indem es Admins entfernt, Anzeigen pausiert und Zahlungsmethoden ändert¹. Nach unserer Lesart richtet ein übernommenes Konto an diesen drei Stellen Schaden an, bei den Personen mit Zugriff, bei laufenden Anzeigen und beim Zahlungsweg.
Google entfernt bei bestätigtem Missbrauch unbefugte Nutzer und unbefugte Einladungen, hebt unbefugte Verknüpfungen mit fremden Verwaltungskonten auf, pausiert Kampagnen, die der Täter erstellt oder geändert hat, und setzt die Ausgabenlimits neuer Unterkonten, die niemand genehmigt hat, auf null¹³.

Fremde Anzeigen laufen dann über dein Budget, und die Plattform kann dein Konto wegen dieser Inhalte sperren. Du verlierst Zeit, Reputation und Geld, bevor du die Ursache kennst.

Täter schalten in deinem Werbekonto eigene Anzeigen auf deine Kosten und verkaufen Konten mit gutem Ruf weiter.

Wie kommt ein Angreifer in mein Werbekonto?

Plattformen und Forscher beschreiben mehrere Wege, die sich ergänzen können.

Über eine gefälschte Mail (Phishing)

Ein gut dokumentierter Weg ist eine gefälschte Mail, die mit Löschung oder Sperre droht. Guardio schätzt rund 30.000 Opfer einer einzigen Kampagne²¹. Das ist die Einzelmessung eines Sicherheitsherstellers, die Fachpresse gibt sie wieder²²²³.

Wie solche Mails aufgebaut sind und wie du sie prüfst, zeigt der Artikel Mail von Meta droht mit Löschung deiner Facebook-Seite. Im September 2026 erhielt ein Kunde von uns eine solche Mail. Er klickte nicht und leitete sie an uns weiter. Wir fanden keinen Verstoß, die Mail war Phishing.

Über das private Facebook-Konto einer Person

Im Business-Portfolio melden sich Personen in der Regel mit ihrem privaten Facebook-Konto an. Meta verlangt die Zwei-Faktor-Anmeldung auf dem persönlichen Facebook-Konto jeder Person. Eine Ausnahme sind von der Organisation verwaltete Meta-Konten, die Meta nicht für alle Organisationen anbietet⁶.

Meta beschreibt auch den Fall, dass ein Täter das Passwort eines persönlichen Kontos stiehlt, sich zur Seite hinzufügt und den Zugriff der anderen entfernt¹⁰. Der schwächste Zugang bestimmt also die Sicherheit des ganzen Portfolios.

Über gefälschte Partneranfragen

Meta warnt vor Business-Manager-Partneranfragen mit Phishing-Links, die von der echten Meta-Domain facebookmail.com kommen. Kennst du die genannte Person oder Firma nicht, klickst du nichts an¹¹.

Über wiederverwendete Passwörter

Das BSI rät bei übernommenen Konten, Passwörter aller weiteren Konten zu ändern, die dasselbe Passwort nutzen oder bei denen dieselbe Adresse zum Zurücksetzen hinterlegt ist²⁶. Mehr zu Passwörtern aus Datenlecks im Artikel Passwörter eurer Leute sind im Netz.

Über Schadsoftware auf einem Gerät

Google empfiehlt bei Verdacht auf ein kompromittiertes Konto einen Malware-Scan, also eine Suche nach Schadsoftware, auf allen Geräten, über die jemand auf das Konto zugreift. Danach wechselst du das Google-Passwort¹⁶. Die Prüfung der Rechner gehört zu deinem IT-Dienstleister.

Angreifer kommen über gefälschte Mails, schwach gesicherte private Konten, gefälschte Partneranfragen, mehrfach genutzte Passwörter oder Schadsoftware ins Werbekonto. Der schwächste Zugang entscheidet.

Die erste Stunde nach dem Vorfall

Gehe in einem Zug vor. Laut BSI änderst du bei gehackten Konten alle Passwörter nacheinander ohne Pause, damit Angreifer möglichst wenig Zeit haben²⁶. Die Reihenfolge der Schritte ergibt sich aus den Hilfeseiten von Meta, Google und BSI.

Zahlungsweg sichern. Rufe deine Bank an, wenn du Abbuchungen nicht zuordnen kannst. Meta rät das ausdrücklich bei unautorisierten Abbuchungen¹¹. Die zentrale Sperr-Hotline für Karten und Bankzugang ist 116 116²⁸.
Beweise sichern. Mache Screenshots. Notiere Zeitstempel, unbekannte Personen, fremde Verwaltungskonten (Manager-IDs) und neue Kampagnen. Google fragt im Meldeformular nach diesen Angaben¹³.
Zugang schließen. Ändere zuerst das Passwort des E-Mail-Kontos, das zum Konto gehört. Beende dann alle aktiven Sitzungen, also Anmeldungen auf anderen Geräten²⁶.
Plattform melden. Nutze die Formulare, die weiter unten stehen. Rufe sie nur über die Hilfeseiten auf, die du selbst öffnest.
Kein neues Konto anlegen. Ein Ersatzkonto verschlimmert die Lage, falls die Plattform dein Konto sperrt (siehe unten).
Anzeige erstatten. Das BSI rät zur Strafanzeige bei der Polizei und weist darauf hin, dass sie auch aus versicherungsrechtlichen Gründen nötig sein kann²⁶. Als Firma kannst du dich zusätzlich an die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei deines Bundeslandes wenden. Sie unterstützt mit einer ersten Einschätzung, Beratung und der Einleitung der nötigen Schritte der Strafverfolgung. Zuständig ist die ZAC am Sitz deiner Firma oder am Ort des Vorfalls³¹.

Wo du die Anzeige erstattest

Die Anzeige erstattest du bei der Polizei. Die Polizeien der Länder bieten dafür auch Online-Wachen im Internet an.

Hilfe, wenn du keinen IT-Dienstleister hast

Hast du keinen IT-Dienstleister an der Hand, hilft die Transferstelle Cybersicherheit im Mittelstand. Das Bundesministerium für Wirtschaft und Energie fördert sie, und ihre Angebote sind kostenfrei.

Die Notfallhilfe unterstützt kleine und mittlere Unternehmen bei einem Hackerangriff mit einer ersten Orientierung, mit Handlungsempfehlungen und auf Wunsch mit dem Kontakt zu privaten IT-Dienstleistern. Deren Leistungen können Kosten verursachen³⁵. Die Notfallhilfe ersetzt weder die Meldung bei Meta oder Google noch die Anzeige.

Vorsicht bei angeblichen Support-Anrufen

Wer in der Not eine Telefonnummer sucht, folgt schnell dem erstbesten Treffer. Google schreibt, dass es sich nur von Adressen mit der Domain @google.com meldet und nie unaufgefordert nach Passwörtern fragt.

Ruft dich jemand an und gibt sich als Google Ads Support aus, lässt du dir die Identität per Mail bestätigen¹⁶. Nutze für deine Meldung den Weg über dein Konto.

In der ersten Stunde sicherst du Zahlungsweg, Beweise und Zugang, meldest den Vorfall über die Hilfeseiten der Plattform und erstattest Anzeige. Ein neues Konto legst du nicht an.

Wie holt Meta ein gehacktes Konto oder eine gehackte Seite zurück?

Das Formular für gehackte Seiten

Für Seiten gibt es ein eigenes Formular zur Wiederherstellung. Laut Meta ist es die schnellste Möglichkeit, auch wenn du Meta Verified abonniert hast, Metas Bezahl-Abo mit Verifizierung.

Meta meldet sich per Mail und antwortet normalerweise innerhalb eines Tages, manche Prüfungen dauern länger. Meta kann nur handeln, wenn es bestätigen kann, dass jemand die Seite kompromittiert hat¹⁰.

Diese Antwortzeit nennt nur Meta selbst, Stand Oktober 2026, eine zweite Quelle fehlt. Sieh auf der Hilfeseite selbst nach, was Meta aktuell angibt.

Wenn du dich nicht mehr anmelden kannst

Du kannst das Formular nur nutzen, wenn du angemeldet bist und vor Kurzem den Zugriff auf eine Seite verloren hast. Kannst du dich nicht anmelden, rufst du facebook.com/hacked auf einem Gerät auf, mit dem du dich schon einmal angemeldet hast¹⁰. Helfen andere dir, müssen sie dich bitten, das Formular selbst abzusenden.

Wenn du den Zugriff verloren hast, ohne gehackt zu sein

Meta nennt Gründe, aus denen du den Zugriff verlieren kannst, ohne dass jemand dein Konto übernommen hat¹⁰.

Du bist nicht Vertretungsberechtigter für das Thema der Seite.
Jemand hat die Seite wegen eines Verstoßes gegen die Gemeinschaftsstandards gemeldet, und Meta hat sie entfernt.

In diesen Fällen ist das Formular der falsche Weg.

Was du tust, sobald du wieder Zugriff hast

Entsperre dein Konto, falls Meta es zum Schutz gesperrt hat.
Prüfe Seite und Business-Portfolio und mache jede Änderung rückgängig, die du nicht zuordnen kannst.
Aktiviere Advanced Protection, Metas erweiterten Kontoschutz¹⁰.

Fremde Abbuchungen im Meta-Werbekonto

Bei fremden Abbuchungen im Werbekonto beschreibt Meta einen eigenen Prüfweg. Du prüfst Zahlungsverlauf, Schwellenwert, also den Betrag, ab dem Meta abbucht, Budgets und Personen im Konto.

Findest du trotzdem Abbuchungen, die du nicht kennst, oder vermutest du ein gehacktes Werbekonto, meldest du das über das Hilfezentrum¹. Eine zugesagte Erstattung nennt diese Hilfeseite nicht. Dein Anspruch gegenüber der Bank oder dem Kartenanbieter bleibt davon getrennt.

Für eine gehackte Seite nutzt du Metas Formular zur Wiederherstellung, ohne Anmeldung facebook.com/hacked. Eine Rückgabe der Seite sagt Meta nicht zu.

Wie holt Google ein gehacktes Google-Ads-Konto zurück?

Google beschreibt den Ablauf auf seiner Hilfeseite für kompromittierte Konten ausführlicher als Meta und nennt Fristen¹³.

Von der Meldung bis zur Entscheidung

Schritt	Was passiert	Was du tust
1. Melden	Du meldest den Vorfall so schnell wie möglich über das Formular für kompromittierte Konten	Zeitstempel, unbekannte Verwaltungskonten (Manager-IDs), Budgeterhöhungen und deine aktuelle IP-Adresse bereithalten, also die Nummer, unter der dein Internetanschluss im Netz auftritt
2. Sichern	Eine geführte Anleitung stellt Fragen zur Inhaberschaft. Bei bestätigtem Missbrauch sperrt Google das Konto vorübergehend, pausiert die Kampagnen des Täters, entfernt unbefugte Nutzer und Einladungen	Alle Admins melden sich mit Zwei-Faktor neu an und ändern ihr Passwort. Beides ist Pflicht
3. Entscheiden	Per Mail kommt ein Änderungsprotokoll. Zur Wahl stehen „bereinigen“, „unverändert wiederherstellen“ oder „zusätzlich untersuchen“. Die Entscheidung gilt endgültig, eine Person aus dem Admin-Team reicht sie ein	Wähle bewusst. Siehe Erstattung unten
4. Prüfen	Bei Änderungen nur an Nutzern oder Kampagnen hebt Google die Sperre nach der Sicherung auf. Bei Änderungen an der Kontostruktur bleibt sie bis zur Entscheidung	Danach Schadsoftware entfernen, Google-Passwort ändern, Domain-Liste, Nutzer, Verknüpfungen mit Verwaltungskonten, Zahlungsprofile und Kampagnen prüfen

Wie du den Anspruch auf Erstattung behältst

In Schritt 3 entscheidest du auch über deine Erstattung. Wählst du „unverändert wiederherstellen“, erkennt Google keine Übernahme an, und du verlierst den Anspruch auf Erstattung für diesen Vorfall.

Eine Erstattung kannst du nur beantragen, wenn das Konto reaktiviert und Zwei-Faktor aktiv ist und du „bereinigen“ oder „zusätzlich untersuchen“ gewählt hast. Google schreibt, die Prüfung der Abrechnung könne 10 bis 15 Arbeitstage dauern.

Eine Gutschrift erscheint als „Servicekorrektur“ auf der nächsten monatlichen Rechnung¹³. Diese Fristen nennt nur Google selbst, eine zweite Quelle fehlt.

Wie lange du den Schaden vorfinanzierst, an einem Rechenbeispiel

Die Zahlen in diesem Beispiel sind frei gewählt und keine Messung. Ein Täter setzt das Tagesbudget auf 1.000 Euro, du bemerkst es nach drei Tagen. Das sind 3.000 Euro, die zunächst von deiner Zahlungsmethode abgehen.

Die Prüfung der Erstattung kann danach 10 bis 15 Arbeitstage dauern, plus Wartezeit bis zur nächsten Rechnung. Du finanzierst den Schaden also unter Umständen mehrere Wochen vor. Eine Erstattung ist keine Zusage.

Wähl bei Google „bereinigen“ oder „zusätzlich untersuchen“, wenn du eine Erstattung beantragen willst, und plane ein, dass du den Schaden mehrere Wochen vorfinanzierst.

Mein Werbekonto ist gesperrt. Was tue ich bei Meta und bei Google?

Prüfe zuerst, warum das Konto gesperrt ist. Beide Plattformen informieren dich über die Sperre und ihren Grund, Meta im Business Support Home, Google in der Benachrichtigung zur Sperre³¹⁴.

Wann und wie Meta Konten sperrt

Die Sperre erscheint im Business Support Home. Laut seinen Regeln zur Prüfung von Anzeigen beschränkt Meta Konten, wenn Werbetreibende eines dieser Dinge tun.

Sie verletzen Richtlinien schwer oder wiederholt.
Sie umgehen die Prüfung.
Sie nutzen gefälschte Nutzerkonten für Firmenbestandteile wie Seiten und Werbekonten (Business-Assets).
Sie sind mit anderen missbräuchlichen Assets verbunden.

Hältst du die Entscheidung für falsch, beantragst du im Business Support Home eine Überprüfung. Meta nennt als typische Dauer 48 Stunden, in manchen Fällen dauert es länger. Du erfährst die Entscheidung per Mail.

Findet Meta die Aktivität in Ordnung, stellt es das Konto wieder her³. Die 48 Stunden nennt nur Meta, eine zweite Quelle fehlt.

Wann Google ein Konto sperrt

Google nennt unter anderem diese Gruppen von Sperrgründen¹⁴.

Schwere Verstöße, die sofort und ohne Vorwarnung zur Sperre führen.
Wiederholte Verstöße, für die Google Verwarnungen (Strikes) vergibt, bis zu drei Strikes.
Zahlungsprobleme wie offene Salden oder verdächtige Zahlungsaktivität.
Unautorisierte Kontoaktivität.

Bei wiederholten Verstößen warnt Google mindestens sieben Tage vorher. Die ersten beiden Strikes führen zu befristeten Sperren von drei und sieben Tagen. Der dritte endet in der Kontosperre.

Welche Regeln Google für den Einspruch setzt

Du hast mindestens sechs Monate ab Sperre Zeit, den Einspruch einzureichen.
Manche Werbetreibende müssen vorher die Prüfung ihrer Identität bestehen (Werbetreibenden-Verifizierung). Scheitert sie dreimal, ist kein Einspruch mehr möglich.
Bei Zahlungssperren verlangt Google teils innerhalb von 30 Tagen die Bestätigung der Zahlungsmethode, bevor es den Einspruch prüft.
Zu viele Einsprüche zur gleichen Sperre kann Google unbearbeitet lassen.
Google stellt Konten nur „in gut begründeten Fällen“ wieder her, zum Beispiel bei einem Fehler.

¹⁴

Warum du nach einer Sperre kein neues Konto anlegst

Googles Richtlinie zur Umgehung von Systemen verbietet, nach einer Sperre mehrere Konten zu eröffnen, um die Regeln zu umgehen. Google sperrt in diesem Fall ohne Vorwarnung, sobald es den Verstoß erkennt, und lässt den Werbetreibenden danach nicht mehr zu. Nur ein erfolgreicher Einspruch ändert das¹⁹.

Meta nennt das Umgehen von Prüfung und Maßnahmen ebenfalls als Grund für Einschränkungen³.

Eine Sperre ist ein Verfahren mit Belegen, Fristen und einem offiziellen Einspruchsweg. Ein neues Konto verschlimmert die Lage.

Wie schütze ich meine Werbekonten, bevor etwas passiert?

Meta und Google empfehlen auf ihren Hilfeseiten ähnliche Grundregeln für den Schutz von Werbekonten.

Was Meta und Google empfehlen

Maßnahme	Meta	Google Ads
Anmeldung sichern	Advanced Protection, Metas erweiterter Kontoschutz, ist für Konten in werbenden Portfolios verpflichtend. Du brauchst Zwei-Faktor oder einen Passkey¹²	Zwei-Faktor-Bestätigung einschalten. Ein Verwaltungskonto (Manager-Konto) kann sie oder Advanced Protection für alle Unterkonten vorschreiben, die ihm gehören¹⁷
Zwei-Faktor für alle Personen verlangen	In den Einstellungen des Portfolios „Admins only“ (nur Admins) oder „Everyone“ (alle) wählen⁶	Vorgabe im Verwaltungskonto mit Datum „Required as of“ (Pflicht ab)¹⁷
Mehr als eine Person mit voller Kontrolle	Meta empfiehlt das, damit bei einem Austritt jemand die Verwaltung behält⁵	Mindestens zwei Admins aus deiner Firma, unsere Empfehlung
Rechte nach Rolle	Neue Personen erhalten Basiszugriff. Gib nur die Stufe, die jemand braucht⁷	Stufen Admin, Standard, Nur lesen, Nur E-Mail nutzen¹⁸
Einladungen begrenzen	Personen laden nur Menschen mit voller Kontrolle ein, eine zweite Person kann die Anfrage bestätigen⁷	„Allowed Domains“ (erlaubte Domains): nur Adressen deiner Firma darfst du einladen³⁰
Aufräumen	Personen und Partner regelmäßig prüfen und entfernen⁸	Inaktive Nutzer entfernen, keine gemeinsamen Zugangsdaten, verknüpfte Verwaltungskonten prüfen¹⁸
Verifizieren	Unternehmensverifizierung in der Business Suite. Die Entscheidung dauert laut Meta bis zu 14 Werktage, Stand Oktober 2026, den aktuellen Wert siehst du in der Hilfe selbst nach⁹	Werbetreibenden-Verifizierung früh abschließen, sie ist für manche Einsprüche Pflicht¹⁴
Zahlungen beobachten	Zahlungsverlauf prüfen¹	Bank- und Kartenabrechnung vergleichen¹⁸

Rollen, Zwei-Faktor-Status und Partner sehen wir uns auch in der Konten-Prüfung unseres Sicherheits-Checks an. Dabei öffnest du deine Konten in einem Videotermin, und wir führen dich durch.

Was gilt, wenn Metas Hilfeseiten sich widersprechen

Meta beschreibt die Pflicht zur Zwei-Faktor-Anmeldung auf zwei Hilfeseiten leicht unterschiedlich. Die Seite zum Security Centre (Sicherheitscenter) schreibt, Zwei-Faktor sei für Business-Portfolios ab 90 Tagen Alter Pflicht.

Die Seite zur Zwei-Faktor-Vorgabe schreibt, Meta verlange es „für einige“ Portfolios ab 90 Tagen automatisch⁶. Beides sind Metas Angaben, Stand Oktober 2026. Prüfe deshalb selbst in den Einstellungen, ob die Pflicht bei dir gilt, und schalte sie für alle Personen ein.

Warum ein Passkey besser schützt als ein Code

Codes können Täter auf einer Phishing-Seite mitlesen und sofort einsetzen. Guardio fand Seiten mit bis zu drei Runden Code-Abfrage²¹.

Ein Passkey ist eine Anmeldung ohne Passwort, bei der dein Gerät dich per Fingerabdruck, Gesichtserkennung oder Bildschirmsperre bestätigt. Das BSI schreibt, Passkeys seien immun gegen die breite Masse bekannter Phishing-Angriffe.

Auf einer gefälschten Seite gibt der Passkey den geheimen Schlüssel nie heraus, der Login scheitert, und die Täter erfahren nichts³³. Laut Google kannst du einen Passkey nicht teilen, kopieren oder versehentlich weitergeben, er bietet deshalb besseren Schutz vor Phishing²⁰.

Das BSI empfiehlt Zwei-Faktor oder Passkeys zusätzlich zu starken Passwörtern²⁷. Ein Passkey ist deshalb die bessere Wahl, wo du ihn nutzen kannst.

Zwei-Faktor für alle Konten mit weitreichenden Rechten

Für Konten mit weitreichenden Rechten rät das BSI zur Zwei-Faktor-Authentisierung und nennt als Beispiele E-Mail und Social Media. Ein Werbekonto mit hinterlegter Zahlungsmethode gehört nach unserer Einordnung in diese Gruppe.

Viele Dienste liefern die Funktion ausgeschaltet aus, deshalb lohnt sich die Prüfung der Login-Verfahren. Hinterlege außerdem mehrere zweite Faktoren. Wer seinen einzigen zweiten Faktor verliert, verliert in der Regel den Zugang zum Dienst³⁴.

Weitere Hinweise für Austritte und Agenturwechsel stehen im Artikel Der Ex-Mitarbeiter oder die alte Agentur hat noch Zugang.

Passkey oder Zwei-Faktor für jede Person, mindestens zwei Personen mit voller Kontrolle und regelmäßiges Aufräumen der Zugänge senken das Risiko einer Übernahme.

Wie viele trifft es, und was kostet Warten?

Eine belastbare Zahl zu übernommenen Werbekonten in Deutschland liegt uns nicht vor. Im Volltext des Bundeslagebilds Cybercrime 2025 haben wir nach Konto-Übernahme, Social Media, Meta, Facebook und Werbung gesucht und dazu nichts gefunden³².

Die Seite der Bundesregierung zum Bundeslagebild nennt ebenfalls keine Zahlen²⁹. Die folgenden Datenreihen zeigen deshalb jeweils einen Ausschnitt.

Was die einzelnen Daten zeigen

Was gemessen oder beschrieben wurde	Was das zeigt
Konten in Portfolios, die bei Meta werben, gelten bei Meta selbst als Konten mit höherem Risiko für Phishing und Hackversuche¹²	Die Plattform stuft die Zielgruppe selbst als gefährdet ein
Rund 30.000 Opfer-Datensätze in einer einzigen Kampagne, geschätzt von Guardio, Weiterverkauf über einen eigenen Shop²¹. Die Zahl ist eine Einzelmessung eines Herstellers, The Hacker News gibt sie wieder²²	Gestohlene Konten haben einen Markt
Erstattung bei Google erst nach Reaktivierung, Prüfung der Abrechnung kann 10 bis 15 Arbeitstage dauern¹³. Dafür gibt es nur eine Quelle	Du finanzierst den Schaden vor
In Deutschland suchen im Monat rund 590 Menschen nach „google ads support“, 260 nach „meta support kontakt“ und 90 nach „google ads support telefonnummer“. Problembegriffe wie „google ads konto gesperrt“ kommen auf 20 (eigene Auswertung Google Keyword Planner, Vogler Marketing, Abruf 31.10.2026)	Mehr Menschen suchen einen Ansprechpartner als das Problem selbst
Der Klickpreis für „google ads support“ liegt bei 6,18 bis 40,74 Euro, für „google ads agentur“ bei 19,05 bis 65,71 Euro bei 1.300 Suchen (eigene Auswertung Google Keyword Planner, Vogler Marketing, Abruf 31.10.2026)	Firmen zahlen viel für Hilfe rund um Google Ads

Was wir aus den Daten ableiten

Die Schlüsse in dieser Liste sind unsere Deutung der Daten.

Ein Werbekonto ist für Täter ein Wert. Plattform, Forscher und Markt zeigen dasselbe Bild. Täter stehlen und verkaufen Werbekonten, und Meta weiß das selbst.
Wer sich schützen will, sucht kaum nach dem Fachwort. Fachbegriffe wie „zwei faktor authentifizierung google ads“ kommen in unserer Auswertung zusammen auf 20 Suchen im Monat, die Problemsprache auf 290. Wer im Notfall ist, sucht nach „gesperrt“ und „Support“.
Hilfe rund um Google Ads ist teuer. Der Klickpreis für „google ads support“ zeigt, dass Anbieter von Google-Ads-Leistungen viel zahlen, damit Betroffene sie in diesem Moment finden.

Wo die Daten an Grenzen stoßen

Ein Suchvolumen von 0 oder 10 im Planner heißt nicht, dass niemand das Problem hat. Das BKA weist darauf hin, dass im Bereich Cyberkriminalität das Dunkelfeld nach Studien weit überdurchschnittlich ausgeprägt ist³². Zum Dunkelfeld zählen Taten, die nie bei der Polizei ankommen. Die polizeilichen Zahlen zeigen daher nur das Hellfeld, also die bekannten Taten.

Die Zahl 30.000 ist die Schätzung eines Sicherheitsherstellers, keine zweite Stelle hat sie nachgezählt. In einem von vier Datensätzen (2.898 Opfer) lagen 68,6 Prozent der Opfer in den USA²¹. Die Fristen von Google gelten nur für Google Ads.

Täter wollen Werbekonten, und bei Google finanzierst du den Schaden bis zur Erstattung vor. Eine Zahl für Deutschland fehlt.

Das kannst du heute tun

Geh die Aufgaben von oben nach unten durch und hak ab, was erledigt ist. In der Spalte „Wer“ steht, wer die Aufgabe in der Regel übernimmt.

☐	Aufgabe	Wer
☐	Öffne in Meta die Liste der Personen und Partner und entferne, wen du nicht kennst	du
☐	Prüf, ob mindestens zwei Personen deiner Firma volle Kontrolle über das Business-Portfolio haben	Geschäftsführung
☐	Frag jede Person mit Zugriff, ob sie auf ihrem Facebook-Konto Passkey oder Zwei-Faktor-Anmeldung nutzt	du
☐	Wähl in den Einstellungen des Portfolios, dass Meta Zwei-Faktor von allen Personen verlangt	du
☐	Öffne in Google Ads „Zugriff und Sicherheit“, entferne inaktive Nutzer und prüf die verknüpften Verwaltungskonten	du
☐	Schalte in Google Ads „Allowed Domains“ ein, damit du nur Adressen deiner Firma einladen kannst	du
☐	Sorg dafür, dass mindestens zwei Admins aus deiner Firma Google Ads verwalten	Geschäftsführung
☐	Schließ die Unternehmensverifizierung bei Meta und die Werbetreibenden-Verifizierung bei Google früh ab	du
☐	Vergleich den Zahlungsverlauf der Plattformen mit Bank- und Kartenabrechnung	Buchhaltung
☐	Leg fest, wer bei einem Verdacht entscheidet, und schreib die Telefonnummer deiner Bank und die Kontaktdaten der Zentralen Ansprechstelle Cybercrime deines Bundeslandes dazu³¹	Geschäftsführung
☐	Lass bei Verdacht auf eine Übernahme alle Geräte mit Zugriff auf das Konto nach Schadsoftware durchsuchen	IT-Dienstleister
☐	Lass Rollen, Zwei-Faktor-Status und Partner in einem Videotermin prüfen	wir (Konten-Prüfung)

War eine Phishing-Mail der Auslöser, hilft dir der Artikel Mail von Meta droht mit Löschung deiner Facebook-Seite.

Was liegt bei der Plattform, bei deinem IT-Dienstleister und bei uns?

Wer	Aufgabe im Ernstfall
Plattform (Meta, Google)	Prüft, ob eine Kompromittierung vorliegt, und entscheidet über Wiederherstellung, Sperre und Erstattung. Dieser Teil liegt außerhalb deiner Kontrolle
Du als Geschäftsführung	Entscheidest, meldest, sicherst Zahlungswege, stellst Strafanzeige, trägst die Rechnung bis zur Erstattung
Deine Agentur	Kennt Konten, Rollen und Verknüpfungen. Prüft Personen, Partner und Zahlungsmittel im Portfolio, stößt die Meldung an und räumt nach der Wiederherstellung auf
Dein IT-Dienstleister	Prüft Rechner auf Schadsoftware, betreut Postfächer, Spamfilter und Virenschutz. Das gehört nicht zu unserem Umfang
Polizei, Zentrale Ansprechstelle Cybercrime deines Bundeslandes	Unterstützt Firmen mit einer ersten Einschätzung, Beratung und der Einleitung der Strafverfolgung³¹

Die Schulung deiner Mitarbeiter und Penetrationstests, also beauftragte Einbruchsversuche in deine IT, gehören ebenfalls nicht zu uns.

Wir prüfen die Außenseite rund ums Marketing. Dazu zählen die Absenderadresse deiner Domain, Website, Domain, Werbe- und Social-Konten mit allen Zugängen, Firmenadressen in Datenlecks und ähnlich aussehende Domains.

Bei den Werbekonten sehen wir uns in einem Videotermin Rollen, Zwei-Faktor-Status und Partner an. Du öffnest die Konten selbst, einen Zugang brauchen wir nicht. Das Ergebnis ist ein Bericht mit Ampel je Bereich und konkreten Schritten. Dass nichts passiert, sagen wir damit nicht zu. Du findest den Sicherheits-Check auf unserer Leistungsseite.

FAQ

Mein Meta-Werbekonto ist gehackt, was tue ich zuerst?

Zuerst sicherst du den Zahlungsweg und den Zugang. Rufe deine Bank an, wenn du Abbuchungen nicht zuordnen kannst, ändere das Passwort und beende alle aktiven Sitzungen. Melde danach das Konto bei Meta als kompromittiert. Bei einer Seite nutzt du das Wiederherstellungsformular, ohne Anmeldung die Adresse facebook.com/hacked¹⁰. Prüfe anschließend Personen, Partner und Zahlungsmittel im Business-Portfolio. Mache Screenshots, bevor du etwas löschst, denn sie helfen bei der Meldung und bei der Strafanzeige²⁶.

Wie lange dauert es, ein Werbekonto zurückzubekommen?

Das hängt von der Plattform und dem Fall ab. Meta antwortet nach eigener Angabe (Stand Oktober 2026) auf das Formular für gehackte Seiten normalerweise innerhalb eines Tages, einzelne Prüfungen dauern länger¹⁰. Bei einer Sperre nennt Meta typisch 48 Stunden für die Überprüfung³. Bei Google kann die Prüfung einer Erstattung 10 bis 15 Arbeitstage dauern¹³. Eine Zusage zur Rückgabe gibt keine der Plattformen, daher plane Werbung und Anfragen ohne das Konto weiter.

Bekomme ich das Geld für fremde Anzeigen zurück?

Bei Google Ads beschreibt die Hilfeseite ein Erstattungsverfahren mit Bedingungen. Das Konto muss reaktiviert und Zwei-Faktor aktiv sein, und du musst „bereinigen“ oder „zusätzlich untersuchen“ gewählt haben¹³. Für Meta beschreibt die Hilfeseite zu unbekannten Aktivitäten einen Prüfweg über das Hilfezentrum. Eine Erstattung nennt sie nicht¹. Sprich in jedem Fall mit deiner Bank oder dem Kartenanbieter, denn dieser Anspruch läuft getrennt von der Plattform.

Kann ich ein gesperrtes Werbekonto einfach neu anlegen?

Nein, das ist riskant. Google zählt neue Konten nach einer Sperre als Umgehung der Systeme, sperrt sie ohne Vorwarnung und lässt dich danach nicht mehr werben¹⁹. Auch Meta nennt das Umgehen der Prüfung als Grund für Einschränkungen³. Lege stattdessen Einspruch ein oder beantrage die Überprüfung und liefere Belege, die den Fall erklären.

Reicht Zwei-Faktor, oder brauche ich einen Passkey?

Beides ist besser als ein Passwort allein, ein Passkey schützt besser vor Phishing. Täter haben auf Phishing-Seiten schon Codes in Echtzeit abgefragt und weitergegeben²¹²⁴. Einen Passkey gibst du nicht versehentlich weiter²⁰. Das BSI nennt Passkeys immun gegen die breite Masse bekannter Phishing-Angriffe³³. Meta verlangt für Konten in werbenden Portfolios entweder Zwei-Faktor oder einen Passkey¹². Nutze den Passkey, wo er verfügbar ist, und Zwei-Faktor überall sonst.

Wie viele Personen sollten Admin sein?

Mindestens zwei aus deiner Firma, und nur so viele, wie sein müssen. Meta empfiehlt mehr als eine Person mit voller Kontrolle, damit bei einem Austritt jemand die Verwaltung behält⁵. Gib allen anderen nur die Rechte, die sie für ihre Arbeit brauchen. Neue Personen erhalten bei Meta standardmäßig Basiszugriff. Prüfe die Liste regelmäßig und entferne Personen, die nicht mehr mit dem Konto arbeiten.

Quellen

Meta Business Help Centre: „Troubleshoot unrecognised activity on your ad account“ (2026), https://www.facebook.com/business/help/524424920973484, Abruf 31.10.2026
Meta Business Help Centre: „How do I secure a hacked account?“ (2026), https://www.facebook.com/business/help/583427765324458, Abruf 31.10.2026
Meta Business Help Centre: „Ads review policy for businesses on Facebook and Instagram“ (2026), https://www.facebook.com/business/ads/review-policy-guidelines, Abruf 31.10.2026
Meta Business Help Centre: „About Meta Business Support Home“ (2026), https://www.facebook.com/business/help/254088759757736, Abruf 31.10.2026
Meta Business Help Centre: „About Security Centre“ (2026), https://www.facebook.com/business/help/216940652189296, Abruf 31.10.2026

Alle 35 Quellen anzeigen

Meta Business Help Centre: „How to require two-factor authentication for people in your Meta business portfolio“ (2026), https://www.facebook.com/business/help/280940009201586, Abruf 31.10.2026
Meta Business Help Centre: „Add people to a business portfolio and assign a business asset“ (2026), https://www.facebook.com/business/help/2169003770027706, Abruf 31.10.2026
Meta Business Help Centre: „Remove partners from your business portfolio“ (2026), https://www.facebook.com/business/help/2222659621282858, Abruf 31.10.2026
Meta Business Help Centre: „Verifying your business in Meta Business Suite“ (2026), https://www.facebook.com/business/help/2058515294227817, Abruf 31.10.2026
Facebook-Hilfebereich: „Eine gehackte Facebook-Seite, die du verwaltest, wiederherstellen“ (2026), https://www.facebook.com/help/738660629556925, Abruf 31.10.2026
Facebook-Hilfebereich: „Was du tun kannst, wenn du auf Facebook Opfer von Phishing wurdest“ (2026), https://www.facebook.com/help/434918221794966, Abruf 31.10.2026
Facebook-Hilfebereich: „Advanced Protection auf Facebook aktivieren“ (2026), https://www.facebook.com/help/1052552578831700, Abruf 31.10.2026
Google Ads Hilfe: „What to do if your account is compromised“ (2026), https://support.google.com/google-ads/answer/9355975, Abruf 31.10.2026
Google Ads Hilfe: „Google Ads account suspensions overview“ (2026), https://support.google.com/google-ads/answer/9841640, Abruf 31.10.2026
Google Ads Hilfe: „Billing and payment suspensions“ (2026), https://support.google.com/google-ads/answer/13704200, Abruf 31.10.2026
Google Ads Hilfe: „Secure your Google Ads account: Introduction“ (2026), https://support.google.com/google-ads/answer/2375456, Abruf 31.10.2026
Google Ads Hilfe: „Secure your Google Ads account: Manager Account Security Mandates“ (2026), https://support.google.com/google-ads/answer/12865295, Abruf 31.10.2026
Google Ads Hilfe: „Secure your Google Ads account: Best Practices“ (2026), https://support.google.com/google-ads/answer/12864492, Abruf 31.10.2026
Google Ads Richtlinien: „Circumventing systems“ (2026), https://support.google.com/adspolicy/answer/15938075, Abruf 31.10.2026
Google-Konto-Hilfe: „Für die Anmeldung Passkeys statt Passwörter verwenden“ (2026), https://support.google.com/accounts/answer/13548313, Abruf 31.10.2026
Guardio Labs: „AccountDumpling: The Google-Sent Phishing Wave Hijacking 30k Facebook Accounts“ (2026), https://guard.io/labs/accountdumpling---hunting-down-the-google-sent-phishing-wave-compromising-30-000-facebook-accounts, Abruf 31.10.2026
The Hacker News: „30,000 Facebook Accounts Hacked via Google AppSheet Phishing Campaign“ (2026), https://thehackernews.com/2026/05/30000-facebook-accounts-hacked-via.html, Abruf 31.10.2026
it-daily: „30.000 Facebook-Konten über AppSheet gehackt“ (2026), https://www.it-daily.net/shortnews/330-000-facebook-konten-gehackt/, Abruf 31.10.2026
KnowBe4: „AppSheet Abused in Meta Impersonation Phishing Campaign“ (2025), https://blog.knowbe4.com/appsheet-meta-phishing-campaign, Abruf 31.10.2026
Bitdefender: „Spam trends of the week: Cybercrooks phish for Facebook and Instagram business accounts, Bitdefender Antispam Lab warns“ (2023), https://www.bitdefender.com/en-au/blog/hotforsecurity/spam-trends-of-the-week-cybercrooks-phish-for-facebook-and-instagram-business-accounts-bitdefender-antispam-lab-warns, Abruf 31.10.2026
BSI: „Notfallplan gehacktes E-Mail-Konto: Hilfe für Betroffene“ (2026), https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Identitaetsdiebstahl/Hilfe-fuer-Betroffene/hilfe-fuer-betroffene_node.html, Abruf 31.10.2026
BSI: „Passwortwechseln war gestern: Wie Verbraucherinnen und Verbraucher ihre Benutzerkonten absichern können“ (2025), https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250131_Passwortwechsel_next-level.html, Abruf 31.10.2026
Verbraucherzentrale: „Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen“ (2026), https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingmails-woran-sie-sie-erkennen-und-worauf-sie-achten-muessen-6073, Abruf 31.10.2026
Bundesregierung: „Bundeslagebild: Cyberkriminalität nimmt zu“ (2026), https://www.bundesregierung.de/breg-de/schwerpunkte/wirksam-regieren/bundeslagebild-cybercrime-2025-2430048, Abruf 31.10.2026
Google Ads Hilfe: „Secure your Google Ads account: Allowed Email Domains“ (2026), https://support.google.com/google-ads/answer/12864084, Abruf 31.10.2026
Polizei: „Zentrale Ansprechstellen Cybercrime der Polizeien für Wirtschaftsunternehmen und Behörden“ (o. J., Abruf 2026), https://www.polizei.de/Polizei/DE/Einrichtungen/ZAC/zac_node.html, Abruf 31.10.2026
BKA: „Bundeslagebild Cybercrime 2025“ (2026), https://www.bka.de/SharedDocs/Downloads/DE/Publikationen/JahresberichteUndLagebilder/Cybercrime/cybercrimeBundeslagebild2025.pdf?__blob=publicationFile&v=6, Abruf 31.10.2026
BSI: „Anmelden ohne Passwort mit Passkey“ (o. J., Abruf 2026), https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/passkeys-anmelden-ohne-passwort_node.html, Abruf 31.10.2026
BSI: „Zwei-Faktor-Authentisierung“ (o. J., Abruf 2026), https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/zwei-faktor-authentisierung_node.html, Abruf 31.10.2026
Transferstelle Cybersicherheit im Mittelstand: „FAQ“ (o. J., Abruf 2026), https://transferstelle-cybersicherheit.de/faq-haeufig-gestellte-fragen-zur-transferstelle-cybersicherheit-im-mittelstand/, Abruf 31.10.2026