Einschränkungen von Facebook-Werbekonten entstehen meist durch Zahlungsauffälligkeiten, Unternehmensdaten, Richtlinienverstöße bei Werbemitteln oder Kontoverknüpfungen. Ordnen Sie Assets nach Ebenen, halten Sie eine getrennte Ersatzstruktur bereit und gehen Sie im Vorfall in der Reihenfolge Schadensbegrenzung, Passwortwechsel, Beweissicherung und Einspruch vor.
Noch überraschender als eine Kontosperrung ist es, wenn ein Werbekonto während normal laufender Kampagnen plötzlich eingeschränkt wird oder jemand darüber große Summen an Werbekosten ausgibt. Im ersten Fall bricht die Auslieferung ab, im zweiten fließt direkt Geld ab.
Beide Situationen wirken unterschiedlich, hängen aber häufig mit denselben Faktoren zusammen: den Unternehmensdaten des Kontos, der Zahlungsmethode, den Werbemitteln und der Umgebung, in der das Konto üblicherweise genutzt wird.
Vier häufige Gründe für Kontoeinschränkungen
Zahlungsauffälligkeiten sind die direkteste Kategorie. Eine abgelehnte Zahlungsmethode, eine von der Risikoprüfung blockierte Karte oder Rechnungsdaten, die nicht zum Unternehmen passen, können das Konto in einen eingeschränkten Zustand versetzen. Auch eine Karte für mehrere Konten oder häufige Wechsel der Zahlungsmethode können zusätzliche Prüfungen auslösen. Am besten ist eine eigene Zahlungsmethode mit Ausgabenlimit, damit sich Schäden bei Auffälligkeiten sofort begrenzen lassen.
Probleme mit den Unternehmensdaten entwickeln sich eher schleichend. Widersprüchliche Registrierungsangaben, nicht übereinstimmende Firmendaten, Administratoridentitäten und Kontoeröffnungsunterlagen im Business Manager oder die Weitergabe eines Kontos mit unklarer Inhaberschaft können bei einer späteren Prüfung gebündelt auffallen. Im Alltag bleiben solche Probleme oft unsichtbar; werden sie ausgelöst, sind meist viele Nachweise erforderlich.
Richtlinienverstöße bei Werbemitteln treten am häufigsten auf. Die Toleranz für dieselbe Produktkategorie kann sich je nach Markt unterscheiden. Wenn Landingpage und Werbeversprechen nicht zusammenpassen, eingeschränkte Kategorien verwendet werden oder sensible Formulierungen vorkommen, kann zunächst die Anzeige abgelehnt und später das gesamte Konto betroffen sein. Viele Ablehnungen können außerdem die Bewertung des Kontos beeinträchtigen.
Kontoverknüpfungen sind am schwersten zu erkennen. Die Plattform kann IP-Adresse, Geräteinformationen und Browser-Fingerprints kombinieren, um zu beurteilen, ob mehrere Konten aus derselben Quelle stammen. Eine gemeinsam genutzte Umgebung, derselbe Internet-Ausgang oder wechselnde Logins im selben Browser sind typische Auslöser. Das muss nicht sofort Folgen haben, kann bei bestätigter Zuordnung aber eine ganze Gruppe von Konten betreffen.
Unberechtigte Ausgaben und verbliebene Berechtigungen verdienen besondere Aufmerksamkeit. Konten aus inoffiziellen Quellen können mehrfach verkauft werden. Ein Verkäufer kann ein bereits aufgebautes Konto erneut erfassen und weiterverkaufen, sodass mehrere Personen dasselbe Konto bedienen und Warnungen zu ungewöhnlichen Anmeldungen entstehen. Unbekannte Administratoren, die im Business Manager nicht entfernt wurden, nicht widerrufene Freigaben und weiterhin aktive Tokens können Werbe-Assets ebenfalls direkt steuern. In den zuvor genannten Fällen wurden bei einem Werbetreibenden 2 Millionen US-Dollar an Werbebudget verbraucht; ein anderer klickte auf einen Link in einer als offiziell getarnten E-Mail und verlor 200.000 US-Dollar.
Assets in Ebenen strukturieren, damit Backups sinnvoll sind
Werbe-Assets bestehen nicht nur aus einem Konto, sondern aus mehreren miteinander verbundenen Elementen. Bei Problemen müssen Sie wissen, was vorhanden ist und womit es verknüpft ist:
- Business Manager: Administratoren, Media Buyer, Systemnutzer und autorisierte Apps;
- Werbekonto: Berechtigungen, Limits und Auslieferungsverlauf des Kontos;
- Facebook-Seite und Instagram-Konto: Verknüpfung mit dem Werbekonto;
- Pixel oder Datensatz: Zuständigkeit für Conversion-Tracking; falsche Änderungen wirken sich direkt auf Daten aus;
- Zahlungsmethode und Rechnungsdaten: Karten, Kontoguthaben und Einstellungen für automatische Aufladungen.
Die Schichtung hilft zu verstehen, welche Assets betroffen sind, wenn eine Ebene ausfällt, und wo Ersatz-Assets liegen. Sinnvoll ist eine zweite, strukturell passende Umgebung, die vorher eingerichtet wird: ein weiterer Business Manager, eine unabhängige Seite und ein unabhängiger Pixel sowie eine separate Zahlungsmethode. Im normalen Betrieb werden diese nicht vermischt. Bei einem Vorfall besteht der Aufwand dann darin, Datenhistorie neu aufzubauen, statt bei null zu beginnen.
Für Berechtigungen gilt eine einfache Regel: so wenige Administratoren wie möglich, Rechte nach Aufgabe vergeben und am Tag eines Austritts oder Rollenwechsels entziehen. Am gefährlichsten ist nicht eine fehlende Berechtigung, sondern eine zusätzliche, die niemand zuordnen kann.
Reihenfolge der Maßnahmen nach einem Vorfall
Eine falsche Reihenfolge kann den Schaden vergrößern. Sinnvoll ist: zuerst den Abfluss stoppen, dann Zugriffe bereinigen und erst danach Einspruch einlegen.
Erstens stoppen: betroffene Anzeigen pausieren und bei Bedarf die Zahlungsmethode einschränken oder ersetzen, damit keine weiteren Kosten entstehen. Zweitens ändern und entfernen: Login- und E-Mail-Passwort ändern, unbekannte Administratoren und verdächtige Autorisierungen entfernen und alle Geräte zur erneuten Anmeldung zwingen. Drittens Beweise sichern: Screenshots von ungewöhnlicher Auslieferung, Rechnungsänderungen und Anmeldewarnungen speichern. Viertens Einspruch: über offizielle Kanäle einreichen und Zeitpunkt der Entdeckung, Auffälligkeiten sowie bereits ergriffene Maßnahmen erläutern. Zum Schluss folgt die Ursachenanalyse: War es Phishing, eine verbliebene Berechtigung oder eine unsichere Umgebung? Ohne diese Klärung kann derselbe Vorfall erneut auftreten.
Auch im Alltag helfen einige Gewohnheiten. E-Mail- und Zahlungsbestätigung früh erledigen; nach Erhalt eines Kontos sofort das Passwort ändern und Zwei-Faktor-Authentifizierung aktivieren; wenn das Guthaben für mehr als 30 Tage reicht oder das Konto keine Anzeigen mehr schaltet, die Behandlung des Restguthabens im Backend prüfen; bei unbekannten E-Mails und SMS nie auf Links klicken oder Daten eingeben; und die mit dem Konto verbundenen Pixel sowie autorisierten Apps regelmäßig kontrollieren und Unbekanntes entfernen.
Häufig gestellte Fragen
Lassen sich Kontoguthaben und unberechtigt ausgegebene Werbekosten zurückholen? Das hängt vom Einzelfall ab. Eine schnelle Beschwerde und vollständige Nachweise erhöhen die Chancen deutlich. Deshalb ist sofortige Schadensbegrenzung wichtiger als spätere Reparaturversuche.
Ist eine isolierte Umgebung automatisch sicher? Eine isolierte Umgebung reduziert Risiken durch gemeinsame Umgebung und Kontoverknüpfung. Gegen Phishing und verbliebene Berechtigungen helfen weiterhin nur saubere Prozesse und Gewohnheiten. Beides ist notwendig.
Müssen auch kleine Teams Berechtigungen bereinigen? Ja. Selbst bei wenigen Personen sollte klar sein, wer Administrator ist, wer nur Kampagnenrechte hat, und welche Aktionen durchgeführt wurden.
Schluss
Die Sicherheit von Facebook-Werbekonten hängt zur Hälfte von externen und zur Hälfte von internen Faktoren ab. Extern drohen Phishing, Schadsoftware und mehrfach verkaufte Konten; intern sind es nicht bereinigte Rechte, gemeinsam genutzte Logins und nicht getrennte Umgebungen. Saubere Kontoquellen, getrennte Umgebungen, regelmäßige Rechteprüfungen und Backup-Assets als feste Prozesse sind deutlich günstiger als eine spätere Beschwerde nach einem Vorfall.
