Een Google Ads-account bevat meer dan alleen campagnes. Je beheert er advertentiebudgetten, betaalgegevens, gebruikersrechten en soms meerdere klantaccounts tegelijk. Wordt een account overgenomen, dan kan een kwaadwillende in korte tijd campagnes aanpassen, budgetten verhogen, nieuwe gebruikers toevoegen of factureringsgegevens wijzigen.
Daarom is accountbeveiliging geen technisch detail, maar een vast onderdeel van goed Google Ads-beheer. In 2026 kijkt Google daarbij niet alleen meer naar wachtwoorden en tweestapsverificatie, maar ook naar toegangssleutels, toegestane domeinen, gebruikersrechten en beveiligingstaken binnen Google Ads.
Wie toegang krijgt tot het Google-account waarmee je Google Ads gebruikt, kan mogelijk ook toegang krijgen tot je advertentieaccount.
Dat kan gevolgen hebben voor:
Bij een overgenomen account kunnen bijvoorbeeld onbekende campagnes worden toegevoegd of bestaande budgetten worden verhoogd. Ook onverwachte wijzigingen in gebruikers, facturering of accountinstellingen kunnen een signaal zijn dat iemand toegang heeft gekregen.
Controleer waarschuwingen over verdachte activiteit daarom altijd direct. Bekijk daarnaast regelmatig je wijzigingsgeschiedenis en gebruikersrechten.
De belangrijkste risico’s zijn vaak verrassend eenvoudig.
Phishing
Aanvallers sturen bijvoorbeeld e-mails die lijken alsof ze afkomstig zijn van Google Ads. Via een nagemaakte inlogpagina proberen ze je Google-accountgegevens te achterhalen.
Hergebruikte of zwakke wachtwoorden
Gebruik je hetzelfde wachtwoord voor meerdere diensten? Dan kan een datalek bij een andere website indirect ook je Google-account in gevaar brengen.
Onnodige gebruikersrechten
Een oud-medewerker, voormalig bureau of externe leverancier kan soms nog steeds toegang hebben tot een account terwijl dat niet meer nodig is.
Onveilige e-maildomeinen
Google Ads kan beperken vanaf welke e-maildomeinen gebruikers toegang mogen krijgen. Staat hier nog een oud bureau- of partnerdomein tussen, dan kan dat onnodig risico opleveren.
Onvoldoende beveiligde apparaten
Malware of een geïnfecteerde browserextensie kan inloggegevens of sessies onderscheppen, zelfs wanneer je een sterk wachtwoord gebruikt.
Een goede beveiliging bestaat uit meerdere lagen. Doorloop daarom niet alleen je wachtwoordinstellingen, maar ook de beveiligingsopties binnen Google Ads zelf.
Begin bij de apparaten waarop je inlogt.
Zorg dat je computer, laptop en telefoon:
Heb je het vermoeden dat je account al is overgenomen? Voer dan eerst een malwarecontrole uit voordat je wachtwoorden wijzigt.
Gebruik voor je Google-account een wachtwoord dat je nergens anders gebruikt.
Een wachtwoordmanager kan helpen om sterke, unieke wachtwoorden te gebruiken zonder ze allemaal zelf te hoeven onthouden.
Verander je wachtwoord direct wanneer:
Gebruik tweestapsverificatie voor het Google-account waarmee je Google Ads beheert.
Daarmee is alleen een wachtwoord niet voldoende om in te loggen. Een aanvaller heeft daarnaast nog een extra verificatiemethode nodig.
Binnen Google Ads kun je bovendien beveiligingsregels instellen waarmee je tweestapsverificatie verplicht stelt voor gebruikers.
Bij manageraccounts kan een bureau deze beveiliging centraal afdwingen voor accounts waarvoor het manageraccount voldoende beheerdersrechten heeft.
Een belangrijke ontwikkeling in Google Ads is het gebruik van toegangssleutels, ook wel passkeys genoemd.
Een toegangssleutel kan bijvoorbeeld werken via:
Het grote voordeel is dat een toegangssleutel beter bestand is tegen phishing dan een traditioneel wachtwoord.
Je voert namelijk geen wachtwoord in op een website. De verificatie vindt plaats via een vertrouwd apparaat of beveiligingssleutel.
Google Ads laat inmiddels ook zien welke gebruikers nog geen toegangssleutel hebben ingesteld.
Dat is precies een van de beveiligingstaken die je binnen Google Ads kunt tegenkomen.
Beheer je grote advertentiebudgetten of meerdere klantaccounts? Dan kan een fysieke FIDO2-beveiligingssleutel een extra beveiligingslaag zijn.
Een bekend voorbeeld is een YubiKey, maar er bestaan ook andere compatibele beveiligingssleutels.
Een fysieke sleutel kan als toegangssleutel worden gebruikt en is sterk beschermd tegen phishing. Een aanvaller heeft dan niet alleen je inloggegevens nodig, maar ook toegang tot het fysieke apparaat.
Bewaar bij voorkeur ook een veilige alternatieve herstelmethode voor het geval je de sleutel kwijtraakt.
Ga regelmatig naar:
Beheer > Toegang en beveiliging
Controleer vervolgens welke gebruikers toegang hebben tot je Google Ads-account.
Let bijvoorbeeld op:
Geef gebruikers alleen het toegangsniveau dat ze daadwerkelijk nodig hebben.
Iemand die alleen rapportages hoeft te bekijken, hoeft bijvoorbeeld geen beheerdersrechten te hebben.
Binnen Google Ads kun je instellen vanaf welke e-maildomeinen gebruikers toegang mogen krijgen tot het account.
Dat is vooral interessant wanneer je met meerdere medewerkers of externe partijen werkt.
Controleer regelmatig of alle toegestane domeinen nog nodig zijn.
Werk je bijvoorbeeld niet meer samen met een bepaald bureau? Dan kan het verstandig zijn om ook het betreffende e-maildomein uit de toegestane domeinen te verwijderen.
Wil je precies weten hoe je gebruikers en bureaus toegang geeft? Lees dan ook ons artikel over Google Ads toegang geven en onze uitleg over rollen in Google Ads.
Google Ads beschikt tegenwoordig over een apart overzicht met beveiligingstaken.
Je vindt hier controles waarmee Google je helpt om mogelijke zwakke plekken in je account te vinden.
Je kunt bijvoorbeeld meldingen krijgen over:
Google kan aangeven dat bepaalde gebruikers nog geen toegangssleutel hebben ingesteld.
Dat is vooral relevant voor gebruikers met:
Controleer daarom niet alleen je eigen account, maar ook welke andere gebruikers nog onvoldoende beveiligd zijn.
Google kan aangeven dat sommige toegestane domeinen mogelijk niet meer nodig zijn.
Loop deze lijst regelmatig door en verwijder domeinen van bedrijven of partners waarmee je niet meer samenwerkt.
Google Ads kan je ook vragen om gebruikers opnieuw te beoordelen.
Controleer daarbij niet alleen of een gebruiker bekend is, maar ook of het toegekende toegangsniveau nog passend is.
Door deze beveiligingstaken regelmatig af te ronden, verklein je het risico dat oude toegangen ongemerkt blijven bestaan.
Google Ads heeft daarnaast beveiligingsfunctionaliteit waarmee verdachte accountactiviteit en mogelijke risico’s beter zichtbaar kunnen worden gemaakt.
De beveiligingscontroles kunnen onder andere aandacht vragen voor:
Controleer deze aanbevelingen bij voorkeur minimaal één keer per maand.
Zie ze niet automatisch als een opdracht van Google, maar als een extra controle. Beoordeel altijd zelf of een gebruiker, domein of instelling nog nodig is.
Phishing blijft een van de grootste risico’s voor Google Ads-accounts.
Een e-mail kan er vrijwel hetzelfde uitzien als een echte Google-mail, terwijl de link naar een nagemaakte website leidt.
Let daarom niet alleen op het logo of de afzendernaam.
Controleer onder andere:
Legitieme Google Ads-mails gebruiken Google-domeinen, zoals @google.com of @ads.google.com.
Ontvang je onverwachts een waarschuwing of verzoek om opnieuw in te loggen? Open dan liever zelf Google Ads via je browser in plaats van op de link in de e-mail te klikken.
Google zal je niet via een willekeurige e-mail vragen om je wachtwoord aan iemand door te geven.
Een steeds vaker voorkomende vorm van phishing is het vragen om een verificatiecode.
Een aanvaller kan bijvoorbeeld al over je wachtwoord beschikken en vervolgens proberen je over te halen om een ontvangen beveiligingscode door te geven.
Deel daarom nooit:
Een echte Google-medewerker hoeft jouw verificatiecode niet te weten om je te helpen.
Gebruik je een Google Ads-manageraccount, ook wel MCC genoemd? Dan is beveiliging extra belangrijk.
Met één toegang kun je immers meerdere klantaccounts beheren.
Binnen een manageraccount kun je bepaalde minimale beveiligingsvoorwaarden afdwingen voor gekoppelde accounts waarvoor je voldoende beheerdersrechten hebt.
Je kunt bijvoorbeeld eisen dat gebruikers gebruikmaken van:
Subaccounts kunnen daarbij altijd strengere beveiligingsinstellingen gebruiken dan de minimale eisen vanuit het manageraccount.
Voor bureaus is ook de instelling Toegestane domeinen belangrijk.
Daarmee bepaal je welke e-maildomeinen gebruikers mogen gebruiken om toegang te krijgen tot het manageraccount.
Een bureau kan bijvoorbeeld alleen:
@adoptimizr.nl
toestaan.
Hierdoor kan niet zomaar een willekeurig Gmail-adres aan het manageraccount worden toegevoegd.
Controleer deze domeinen regelmatig, zeker wanneer medewerkers vertrekken of samenwerkingen met externe partijen stoppen.
Bij zeer gevoelige accounts kan het verstandig zijn dat belangrijke wijzigingen niet door één persoon alleen kunnen worden uitgevoerd.
Google heeft hiervoor functionaliteit waarbij bepaalde gevoelige acties door een tweede beheerder moeten worden goedgekeurd.
Denk bijvoorbeeld aan wijzigingen rondom:
Voor bureaus en organisaties waarbij meerdere mensen beheerder zijn, kan dit het risico op misbruik verder verkleinen.
Denk je dat iemand toegang heeft gekregen tot je account? Handel dan zo snel mogelijk.
Voer een volledige beveiligingsscan uit op apparaten waarmee je Google Ads gebruikt.
Controleer ook browserextensies en recent geïnstalleerde software.
Gebruik een volledig nieuw wachtwoord dat je nergens anders gebruikt.
Controleer daarna ook je hersteltelefoonnummer en herstelmailadres.
Bekijk welke apparaten en sessies momenteel toegang hebben tot je Google-account.
Log onbekende apparaten onmiddellijk uit.
Controleer of er onbekende passkeys, telefoonnummers of verificatiemethoden zijn toegevoegd.
Verwijder alles wat je niet herkent.
Ga naar:
Beheer > Toegang en beveiliging
Verwijder onbekende gebruikers en controleer ook gekoppelde manageraccounts.
Bekijk alle campagnes, ook gepauzeerde campagnes.
Let vooral op:
Pauzeer campagnes die je niet vertrouwt.
Ga naar de wijzigingsgeschiedenis van Google Ads.
Hier kun je zien welke wijzigingen zijn uitgevoerd en door welke gebruiker.
Controleer bijvoorbeeld:
Zo kun je beter bepalen wanneer het incident is begonnen.
Ga vervolgens naar Facturering.
Controleer:
Zie je uitgaven die je niet herkent? Documenteer deze wijzigingen en neem contact op met Google Ads-support.
Meld een gecompromitteerd account bij Google.
Google kan het account onderzoeken en aanvullende beveiligingsmaatregelen nemen.
In sommige gevallen kan Google een account tijdelijk beperken of opschorten wanneer verdachte activiteit wordt gedetecteerd.
Controleer na herstel ook je adverteerdersverificatie en andere accountgegevens.
Een onderdeel dat gemakkelijk wordt vergeten zijn automatische regels en Google Ads-scripts.
Controleer na een beveiligingsincident daarom ook:
Een onbekende gebruiker kan namelijk niet alleen campagnes wijzigen, maar ook automatiseringen instellen die later opnieuw wijzigingen uitvoeren.
Ja. Via een manageraccount kun je bepaalde beveiligingseisen instellen voor accounts waarvoor het manageraccount voldoende beheerdersrechten heeft. Gebruikers kunnen daarnaast altijd strengere beveiligingsmethoden gebruiken.
Bij tweestapsverificatie log je meestal in met een wachtwoord plus een tweede controlemethode. Een toegangssleutel kan het wachtwoord vervangen en gebruikt bijvoorbeeld je telefoon, computer, biometrische verificatie of een fysieke security key.
Passkeys zijn beter bestand tegen phishing omdat je geen wachtwoord invoert dat kan worden gestolen via een nagemaakte website. De verificatie vindt plaats via een vertrouwd apparaat of beveiligingssleutel.
Controleer of je de juiste code gebruikt en of deze nog niet verlopen is. Zorg daarnaast dat datum, tijd en tijdzone van je telefoon automatisch correct worden ingesteld.
Voor zakelijke Google Ads-accounts is minimaal één keer per maand een goede gewoonte. Controleer gebruikers daarnaast direct wanneer een medewerker vertrekt of een samenwerking met een bureau stopt.
Bij wijzigingen van bijvoorbeeld een hersteltelefoonnummer of herstelmailadres kan Google tijdelijk aanvullende beveiligingscontroles uitvoeren. Houd er rekening mee dat bepaalde wijzigingen meerdere dagen nodig kunnen hebben voordat ze overal volledig zijn verwerkt.
Google Ads-beveiliging is niet iets dat je één keer instelt en daarna kunt vergeten.
Controleer minimaal maandelijks:
Zo verklein je niet alleen de kans op een hack, maar ontdek je ook sneller wanneer er iets verandert wat je niet verwacht.
Een goed ingericht Google Ads-account draait niet alleen om campagnes, conversies en ROAS.
Beveiliging hoort daar net zo goed bij.
Gebruik sterke authenticatie, stel toegangssleutels in, controleer regelmatig je gebruikers en neem de beveiligingstaken van Google Ads serieus. Zeker wanneer meerdere medewerkers of bureaus toegang hebben, kunnen kleine controles grote problemen voorkomen.
Wil je meer weten over de basis van Google Ads? Lees dan onze uitleg over wat Google Ads is of bekijk onze complete lijst met Google Ads-begrippen.
Bij ADoptimizr beheren we dagelijks Google Ads-accounts voor bedrijven en webshops. Daarbij kijken we niet alleen naar campagnes en rendement, maar ook naar gebruikersrechten, tracking en accountstructuur.
Wil je weten of jouw Google Ads-account veilig en correct is ingericht en je Google Ads campagnes uitbesteden? Neem contact op met ADoptimizr voor een controle van je account.
