Google Ads MCP darf jetzt ins Konto schreiben: Assets, Videos und Labels – und wie du den Agenten absicherst

01 / Was jetzt möglich ist

Was der Agent im Werbekonto anlegen darf.

Die Version 0.0.6 vom 2. November 2026 hat vier Werkzeuge bekommen, die das Konto verändern: create_asset, upload_video_asset, manage_labels und manage_label_associations [1][2]. Davor konnte der Server nur lesen. Die erste Fassung von Oktober 2025 hatte zwei Werkzeuge, eine Abfrage per GAQL und eine Liste der erreichbaren Kundenkonten [3].

create_asset deckt sechs Asset-Typen ab: Text, Bild, YouTube-Video, Sitelink, Callout und Structured Snippet. Für Preise, Aktionen, Anrufe oder Business Messages gibt es einen Zusatzparameter [1]. Bilder nimmt der Server als PNG, JPEG oder GIF bis 20 MB, im lokalen Betrieb als Dateipfad, bei einem entfernten Server als Base64-Daten [1]. Ein Sitelink braucht Linktext und mindestens eine Ziel-URL, ein Callout nur seinen Text [1][3].

Video-Uploads sind der langsamste Teil. Die Datei geht über die Google Ads API zu YouTube, in einem von elf Formaten, und nur im lokalen Betrieb [1]. Die Sichtbarkeit steht standardmäßig auf „nicht gelistet“ [1]. Zurück kommt keine YouTube-Kennung, sondern eine video_upload_id. Der Agent muss den Upload abfragen, bis der Status PROCESSED erreicht ist, und erst dann mit der eigentlichen video_id ein YouTube-Video-Asset anlegen [1].

Labels sind die zweite Hälfte

manage_labels legt Labels an, ändert Name, Beschreibung und Farbe oder entfernt sie wieder. manage_label_associations hängt sie an Kundenkonto, Kampagne, Anzeigengruppe oder Keyword und löst sie wieder [1]. Labels auf Anzeigenebene unterstützt das Werkzeug nicht [1]. Wer Labels für Auswertungen, Regeln oder Skripte nutzt, sollte wissen: Der Agent kann damit die Grundlage ändern, auf der diese Systeme arbeiten, ohne ein Budget anzufassen [3].

02 / Was gesperrt bleibt

Was der Server nicht kann – und warum das die Arbeit bestimmt.

Die Doku zählt die Grenzen selbst auf: keine Kampagnen, Anzeigengruppen oder Anzeigen anlegen, ändern, pausieren oder aktivieren, keine Budgets und Gebote, keine Verknüpfung von Assets an Kampagnen, Anzeigengruppen oder Asset-Gruppen, keine Einstellungen für die Asset-Automatisierung auf Anzeigenebene [1]. Keywords und Ausschlüsse tauchen in der Werkzeugliste nicht auf; ein Werkzeug dafür gibt es nicht [1][2].

Assets landen in der Bibliothek, nicht in der Kampagne

Das ist der Punkt, der die Praxis bestimmt. Ein vom Agenten gebauter Sitelink liegt danach in der Asset-Bibliothek und tut nichts, bis ihn jemand verknüpft [1][3]. Bei Performance Max heißt das: Das Video ist hochgeladen und als Asset vorhanden, in der Kampagne fehlt es trotzdem, bis du es zuordnest. Der Agent liefert Vorarbeit, die letzte Handbewegung bleibt deine.

Auch ein Reporting-Ersatz ist der Server nicht. Lesen läuft weiter über search_search mit GAQL-Abfragen; für einzelne Kennzahlen und Diagnosen reicht das, eine Auswertung mit Berichten ist es nicht [1]. Und ob Google ein Asset später ablehnt, entscheidet die Prüfung im Konto, nicht das Werkzeug (Einschätzung).

03 / Der Dry Run

Ein Sicherheitsnetz, kein Vier-Augen-Prinzip.

Jedes der vier Schreibwerkzeuge läuft zweimal. Der erste Aufruf hat validate_only auf true, prüft die Eingaben und schickt sie bei Assets und Labels als echten Dry Run an die Google Ads API. Zurück kommen eine Liste change_items und eine Prüfsumme [1]. Erst der zweite Aufruf mit validate_only auf false, denselben Parametern und derselben Prüfsumme schreibt tatsächlich [1].

Die Prüfsumme ist ein SHA-256-Wert über Kundenkennung und Anfrage, ohne geheimen Schlüssel und ohne Ablaufdatum. Sie verhindert, dass sich Parameter zwischen den beiden Aufrufen verschieben, und sie erkennt eine ausgetauschte Videodatei, weil Größe und Änderungszeit mit eingehen [1]. Sie belegt aber nicht, dass jemand die Änderung gelesen hat. Die Doku sagt das selbst: Der Wert ersetzt keine Zugriffskontrolle [1]. Wer hart blockieren will, schaltet die Namespaces labels und assets ab [1].

Beim Video gibt es keinen echten Dry Run, weil der YouTube-Upload-Dienst keinen anbietet; der erste Aufruf prüft nur die Datei lokal [1]. Und ein Detail aus der Praxis: Die Aufforderung, auf deine Zustimmung zu warten, steht in der Werkzeugbeschreibung. Sie ist eine Anweisung an das Modell, keine Sperre im Server [3]. Ein eigener Freigabeschritt bleibt deshalb deine Aufgabe.

04 / Zugriff absichern

Wie du die Rechte des Agenten klein hältst.

Man könnte meinen, ein Lesezugriff sei der sichere Standard. Praktisch kennt die Google Ads API nur einen OAuth-Scope, adwords, und der erlaubt Schreiben [1][3]. Was den Server bis November lesend hielt, war sein eigener Code, nicht die Berechtigung [3]. Diese Stellschrauben zählen:

• Nur die Namespaces, die du brauchst: Die Datei tools_config.yaml entscheidet, welche Werkzeuge starten. Achtung: Sobald du Namespaces auflistest, ist jede nicht genannte Kategorie aus. Eine Datei mit nur labels: false und assets: false schaltet auch die Lesewerkzeuge ab, alle fünf Kategorien müssen genannt sein [1].
• Version festnageln: Der Startbefehl in der Doku nennt google-ads-mcp==0.0.6 [1]. Wer stattdessen den Hauptzweig installiert, bekommt neue Schreibwerkzeuge ungefragt mit [3].
• Testkonto statt Livekonto: Ein Google-Cloud-Projekt mit aktivierter Ads-API bekommt Testzugriff für Testkonten. Für Produktivkonten brauchst du Explorer-, Basic- oder Standard-Zugriff, sonst antwortet die API mit CLOUD_PROJECT_NOT_APPROVED_FOR_PRODUCTION [1].
• Zugriff über das Verwaltungskonto: Für Kundinnenkonten setzt du GOOGLE_ADS_LOGIN_CUSTOMER_ID oder übergibst login_customer_id bei jedem Aufruf [1]. So sieht der Agent nur die Konten, die du im Verwaltungskonto freigegeben hast.
• Fernbetrieb absichern: Wer den Server auf Cloud Run betreibt, braucht gesetzte OAuth-Client-ID und Client-Secret. Fehlen sie, fällt der Server auf die Anmeldedaten des Dienstkontos zurück und gibt sie an unangemeldete Aufrufer weiter [3].

Dazu kommt das Änderungsprotokoll: Zu jeder Freigabe gehören Zeitpunkt, Konto, Werkzeug, Prüfsumme und der Name der Person, die zugestimmt hat. Das ist keine Technik, sondern die Akte, die du bei einer Rückfrage vorlegst.

05 / Ablauf

Vom Testkonto bis zum Produktivkonto.

Fünf Schritte, an einem Nachmittag machbar. Der wichtigste ist der vierte: nichts bestätigen, bevor du die Änderungsliste gelesen hast.

1. Projekt und Testkonto: Google-Cloud-Projekt anlegen, Google Ads API aktivieren, im Ads-Konto ein Testkonto einrichten [1].
2. Anmeldedaten holen: gcloud auth application-default login mit dem Scope auth/adwords und der Client-Secret-Datei aufrufen [1].
3. Server einschränken: Version 0.0.6 pinnen, tools_config.yaml über GOOGLE_ADS_MCP_TOOLS_CONFIG festlegen und darin alle fünf Kategorien ausdrücklich nennen [1].
4. Dry Run im Testkonto: Ein Callout oder einen Sitelink vorschlagen lassen, change_items gegenlesen, Prüfsumme notieren, noch nicht bestätigen [1].
5. Freigeben und nachsehen: Zweiter Aufruf mit validate_only=false, danach im Konto prüfen, ob Asset oder Label wirklich da sind, und erst dann von Hand verknüpfen [1].

Im Alltag bleiben drei Aufgaben für den Agenten: Textvarianten für eine Aktion, Bild- und Videomaterial für Performance Max, Labels für Abrechnung und Auswertung. Für den Black Friday heißt das etwa, zusätzliche Callouts und Sitelinks vorzubereiten, während die Kampagnenlogik unangetastet bleibt – was in diesen Tagen zählt, steht im Beitrag zu Google Ads am Black Friday. Wie Bildmaterial in Performance Max wirkt, steht in Bilder für Performance Max.

Was MCP grundsätzlich ist und wie ein Agent an ein System andockt, habe ich in WordPress per ChatGPT oder Claude steuern beschrieben. Der Unterschied liegt im Gegenstand: In WordPress gibt der Agent Rechte an Inhalten, in Google Ads an Werbemitteln.

Quellen

Quellen

1. Google for Developers: „Google Ads MCP server: Developer integration guide“ (Werkzeugliste, Voraussetzungen, Propose-and-confirm, tools_config.yaml) – developers.google.com, abgerufen 14.11.2026.
2. GitHub: googleads/google-ads-mcp, Release v0.0.6 vom 2. November 2026 – github.com, abgerufen 14.11.2026.
3. PPC Land (Luis Rijo): „Google Ads MCP server gains 4 write tools, still can't change budgets“, 9. November 2026 – ppc.land, abgerufen 14.11.2026.
4. PPC News Feed: „Google Ads MCP Now Allows Asset Creation“, 13. November 2026 – ppcnewsfeed.com, abgerufen 14.11.2026.