Facebook-Ads-Tools mit Tokens und Cookies: ein Sicherheits-Deep-Dive
Lena Brandt
Analyst für Werberichtlinien & Compliance
Jedes Grey-Hat-Tool für Facebook-Werbung braucht eine Sache, um zu funktionieren: Zugriff auf dein Facebook-Konto. Wie es diesen Zugriff bekommt und was er offenlegt, ist der Kern der Token- und Cookie-Sicherheit bei Facebook Ads, und genau diese Frage stellen sich die meisten Media Buyer nie. Dieser Artikel vergleicht die zwei gängigen Abkürzungen, einen Access Token teilen und Session-Cookies teilen, mit dem offiziellen Weg.
Kurze Antwort: Token- und Cookie-Sicherheit bei Facebook Ads hängt davon ab, wie ein Tool dein Konto erreicht. Manche Grey-Hat-Tools arbeiten mit einem Access Token oder Session-Cookies aus deinem Browser und bekommen so deinen eingeloggten Zugriff, mit weiten, schwer widerrufbaren Berechtigungen. Die sichere Alternative ist die offizielle Marketing API von Meta mit OAuth: begrenzter Zugriff, den du sehen und entfernen kannst, ohne deine Session offenzulegen.
Das ist ein defensiver Leitfaden: Er erklärt, was offengelegt wird und wie du dich schützt, nicht, wie eine dieser Methoden durchgeführt wird. Den breiteren Vergleich von offiziellem und Grey-Hat-Tooling findest du in unserem Leitfaden zu offiziellen Tools der Meta Ads API vs. Grey-Hat-Tools.
So funktioniert die Authentifizierung bei Facebook
Für ein Werbetool funktioniert die Authentifizierung bei Facebook auf eine von zwei Arten: Entweder stellt Meta dem Tool per OAuth Zugriff aus, oder das Tool leiht sich Zugriff, den dein Browser schon hat. Alles Weitere in diesem Artikel folgt aus diesem Unterschied.
Der offizielle OAuth-Ablauf
Wenn sich eine seriöse Anwendung wie Wevion mit deinem Facebook-Konto verbindet, folgt sie dem OAuth-2.0-Ablauf von Meta:
- Du startest ihn: Du klickst in der Anwendung darauf, dein Meta-Konto zu verbinden.
- Meta zeigt einen Dialog: Ein Bildschirm auf einer Seite von Meta listet genau auf, was die App anfragt.
- Du stimmst zu: Du genehmigst die Berechtigungen oder lehnst sie ab.
- Meta stellt einen Token aus: Der Token deckt nur die genehmigten Berechtigungen ab und geht an die registrierte ID der App.
- Du behältst die Kontrolle: Der Token hat eine festgelegte Laufzeit, und du kannst die App jederzeit entfernen.
So verbundene Apps stehen in deinen Facebook-Einstellungen unter Unternehmensintegrationen, und die App ist an die Plattform-Nutzungsbedingungen von Meta gebunden. Wevion arbeitet genau so: Es verbindet sich mit dem User Token, den Meta per OAuth ausstellt. Ein Business-Admin kann auch einen System User Token hinzufügen, der Hauptweg ist aber OAuth.
Was Grey-Hat-Tools stattdessen tun
Grey-Hat-Tools überspringen diesen Ablauf. Statt Meta um Zugriff zu bitten, arbeiten sie mit Zugangsdaten, die dein Browser schon hat:
- Einem Access Token aus deiner eingeloggten Session
- Session-Cookies, die deinen Browser eingeloggt halten
So oder so bekommt das Tool Zugriff ohne begrenzte Berechtigungsfreigabe, ohne eine App, die Meta für diesen Zugriff genehmigt hat, und ohne verbundene App, die du entfernen kannst.
Access Tokens: was sie sind und was sie erreichen
Ein Access Token sind die Zugangsdaten, die den Servern von Meta sagen, wer eine Anfrage stellt und was er tun darf. Wenn du im Ads Manager arbeitest, nutzt dein Browser im Hintergrund Tokens, und das ist die Art von Token, mit der manche Grey-Hat-Tools arbeiten.
Was ist ein "EAAB-Token"?
"EAAB" ist kein offizieller Begriff von Meta. Es ist der Spitzname, den Media Buyer für Access Tokens verwenden, deren Zeichenkette mit diesen vier Buchstaben beginnt: Facebook Access Tokens beginnen mit "EAA", und die von der Werbeoberfläche von Facebook selbst genutzten beginnen typischerweise mit "EAAB". Meta veröffentlicht nicht, wofür das Präfix steht, sei also vorsichtig bei jeder "offiziellen" Auflösung, die du online liest.
Was ein Token erreichen kann
Ein Token trägt die Berechtigungen der Session, aus der er stammt. Im Werbekontext sind das typischerweise:
| Berechtigung | Was sie erlaubt | Risikostufe |
|---|---|---|
ads_management | Kampagnen, Anzeigengruppen und Anzeigen erstellen, bearbeiten und löschen | Hoch |
ads_read | Werbedaten und Performance-Kennzahlen lesen | Mittel |
business_management | Business-Einstellungen verwalten, einschließlich Personen und Assets | Kritisch |
pages_manage_ads | Anzeigen erstellen, die mit deinen Seiten verknüpft sind | Hoch |
pages_read_engagement | Beiträge und Interaktionen von Seiten lesen | Mittel |
read_insights | Insights und Analysen lesen | Mittel |
Achtung: Den Umfang eines Tokens aus deiner Session kannst du nicht eingrenzen. Er trägt alles, was deine Session trägt, und ein Dritter, der ihn hat, hat dieselbe Reichweite.
Token-Typen und Laufzeiten
Die Dokumentation zu Access Tokens von Meta beschreibt mehrere Token-Typen, und sie verhalten sich unterschiedlich:
| Token-Typ | Typische Laufzeit | Wie er endet |
|---|---|---|
| Kurzlebiger User Token (OAuth) | Etwa 1 bis 2 Stunden | Läuft von selbst ab |
| Langlebiger User Token (OAuth) | Etwa 60 Tage | Läuft ab, oder du entfernst die App |
| Seiten-Token | Kann langlebig sein | Widerruf über den Nutzer oder die Seite |
| System User Token | Kann so eingestellt werden, dass er nicht abläuft | Widerruf durch einen Business-Admin |
| Token aus einer Session | Unklar, an die Session gebunden | Keine App zum Entfernen; endet, wenn Session oder Token ungültig werden |
Die Dokumentation von Meta weist auch darauf hin, dass Tokens vorzeitig ablaufen können, etwa nach einer Passwortänderung. System User Tokens gehören zum Business-Portfolio statt zu einer Person, deshalb nutzen Admins sie für Server-zu-Server-Zugriff. Auch sie müssen sorgfältig begrenzt und widerrufen werden, wenn sie nicht mehr gebraucht werden.
Session-Cookies: das größere Risiko
Session-Cookies halten deinen Browser bei Facebook eingeloggt. Während ein Token so weit reicht, wie seine Berechtigungen erlauben, kann ein Session-Cookie das ganze Konto erreichen, weil es für Facebook wie dein bereits eingeloggter Browser aussieht.
Deshalb ist Diebstahl von Zugangsdaten ein so häufiger Weg in Konten. Laut dem Verizon 2025 Data Breach Investigations Report war Missbrauch von Zugangsdaten mit 22 % der häufigste erste Zugangsweg bei Sicherheitsvorfällen. Session-Cookies an einen Dritten zu geben, schafft einen weiteren Ort, an dem sie verloren gehen können.
Zwei-Faktor-Authentifizierung deckt diesen Fall schlecht ab. 2FA schützt den Moment des Logins, eine bereits authentifizierte Session hat diese Prüfung schon hinter sich. Deshalb lautet der Rat, Cookies nie zu exportieren oder zu teilen, und deshalb verdienen Tools, die danach fragen, die meiste Vorsicht.
Tokenbasierter vs. cookiebasierter Zugriff
| Aspekt | Tokenbasiert | Cookiebasiert |
|---|---|---|
| Reichweite | Was die Berechtigungen des Tokens erlauben | Das ganze Konto |
| Was offengelegt wird | Werbedaten und -verwaltung | Anzeigen plus Nachrichten, Profil und Einstellungen |
| Für dich sichtbar | Keine verbundene App zum Prüfen | Keine verbundene App zum Prüfen |
| Widerruf | Token oder Session ungültig machen | Von allen Sessions abmelden und Passwort ändern |
| Wenn das Tool kompromittiert wird | Werbe-Assets in Gefahr | Ganzes Konto in Gefahr |
Tool-Kategorien und wie sie sich verbinden
Statt einzelne Anbieter herauszugreifen, ist es nützlicher, die Kategorien zu kennen und jedes Tool zu fragen, zu welcher es gehört:
| Kategorie | Wie sie Zugriff bekommt | Kannst du sie in deinen Einstellungen sehen und entfernen? |
|---|---|---|
| Tokenbasierte Automatisierungstools | Ein Access Token aus deiner Session | Nein |
| Cookiebasierte Session-Tools | Deine Session-Cookies | Nein |
| Automatisierungsskripte für den Ads Manager | Dein eingeloggter Browser | Nein |
| Browser-Profil-Tools | Dein eigenes Login, in einem isolierten Profil, das du kontrollierst | Nicht zutreffend: Du loggst dich selbst ein |
| Offizielle API-Plattformen wie Wevion | OAuth, begrenzte Berechtigungen, von Meta ausgestellt | Ja |
Was geteilter Zugriff aufs Spiel setzt
Wenn du einem Tool einen Token oder Cookies gibst, entsteht eine Kette mit mehreren Schwachstellen, und an jeder davon vertraust du dem Anbieter:
- Übertragung: Sind die Zugangsdaten auf dem Weg zum Anbieter verschlüsselt?
- Speicherung: Sind sie im Ruhezustand verschlüsselt, und wer kann die Datenbank lesen?
- Zugriffskontrolle: Welche Mitarbeitenden können deine Zugangsdaten sehen?
- Reaktion auf Vorfälle: Was passiert, wenn der Anbieter kompromittiert wird?
- Aufbewahrung: Wie lange werden die Zugangsdaten gespeichert, nachdem du den Dienst nicht mehr nutzt?
Bei vielen Grey-Hat-Tools sind diese Antworten nicht veröffentlicht. Und ein Anbieter, der die aktiven Sessions vieler Werbetreibender hält, ist für sich genommen ein lohnendes Ziel: Die Frage, die sich lohnt, ist nicht, ob er heute vertrauenswürdig wirkt, sondern was eine Kompromittierung morgen erreichen würde.
Wenn der Update-Kanal die Angriffsfläche ist
Eine Erweiterung, die sich selbst aktualisiert, ist ein Vertriebskanal, und damit wird ihre Update-Pipeline Teil dessen, dem du vertraust. Du genehmigst ihre Berechtigungen einmal, bei der Installation. Danach kann sich der Code hinter diesen Berechtigungen ändern, ohne dich erneut zu fragen. Wer die Pipeline kontrolliert, entscheidet, was in jedem Browser läuft, der ihr vertraut, und zwar überall gleichzeitig.
Das stellt den üblichen Rat auf den Kopf. "Halte deine Software aktuell" ist fast immer richtig, und genau auf dieses Verhalten setzt ein manipuliertes Update. Nichts davon betrifft nur ein Produkt oder eine Kategorie: Jede Komponente mit Zugriff auf Browserebene wird über eine Pipeline ausgeliefert.
Was das in der Praxis heißt
- Was eine solche Komponente erreichen kann: alles, was der Browser in diesem Profil lesen kann, einschließlich Session-Cookies, Tokens im Seitenspeicher oder im lokalen Speicher, Daten anderer Erweiterungen und die Zwischenablage.
- Was sie normalerweise nicht erreicht: alles in einem anderen Browser-Profil. Profiltrennung ist die Grenze, die hält, und sie kostet nichts.
- Der Schadensradius gehört zum Profil, nicht zum Anbieter. Ein Profil mit einer Wallet und einer Business-Manager-Session ist nur eine kompromittierte Komponente davon entfernt, beides zu verlieren.
- Die Folgen sind nicht symmetrisch. Gegen ein eingeschränktes Werbekonto kannst du oft Einspruch einlegen. Eine leergeräumte Wallet bekommst du nicht zurück. Bewahre das Unumkehrbare woanders auf.
Die nützlichen Fragen betreffen also dein eigenes Setup: Welche Erweiterungen sehen das Profil, in dem deine Werbekonten eingeloggt sind, was liegt sonst noch in diesem Profil, und was würde das Update von morgen erreichen?
Wo Browser-Profil-Tools stehen
Browser-Profil-Tools, oft Anti-Detect-Browser genannt, lösen Zugriff und Identität: getrennte Profile für jedes Konto, für das du autorisiert bist, und einen Weg für Teams, ohne herumgereichte Passwörter zu arbeiten. Das ist ein anderer Job als Kampagnen zu launchen, mit Regeln zu steuern, zu budgetieren und zu messen, und zwar auf sechs Werbeplattformen in einem Workspace. Genau das macht Wevion. In vielen echten Setups laufen beide nebeneinander. Unser Vergleich von Wevion und Anti-Detect-Browsern zeigt, wie. Wevion verbindet sich per OAuth über die offizielle Marketing API von Meta, bei uns fragt also nie etwas nach einem Cookie.
Profi-Tipp: Halte das Profil, das mit Geld zu tun hat, getrennt vom Profil, das mit Werbekonten zu tun hat. Das kostet nichts und begrenzt, was eine einzelne kompromittierte Erweiterung erreichen kann.
OAuth vs. abgegriffener Token: der direkte Vergleich
OAuth und das Abgreifen eines Tokens enden beide damit, dass ein Tool einen Token hat, aber sie unterscheiden sich darin, wer ihn ausgestellt hat, was er abdeckt und ob du ihn zurücknehmen kannst.
| Aspekt | Offizielles OAuth (z. B. Wevion) | Token oder Cookie aus deiner Session |
|---|---|---|
| Wer den Zugriff ausstellt | Meta, an eine registrierte App | Niemand: Er wird aus deiner Session kopiert |
| Deine Zustimmung | Ausdrücklich, pro Berechtigung | Kein Berechtigungsdialog |
| Umfang | Die Berechtigungen, die du genehmigst | Alles, was deine Session hat |
| Laufzeit | Von Meta festgelegt | Unklar |
| Sichtbarkeit | App in deinen Facebook-Einstellungen gelistet | Nichts zu sehen oder zu entfernen |
| Widerruf | App in deinen Einstellungen entfernen | Sessions ungültig machen und Passwort ändern |
| Regeln für das Tool | Plattform-Nutzungsbedingungen und App Review von Meta | Außerhalb des offiziellen Zugriffs von Meta |
| Wenn der Anbieter kompromittiert wird | Auf genehmigte Berechtigungen begrenzt | Die volle Reichweite deiner Session |
Der Unterschied ist keine Frage des Grades. OAuth existiert, um dir Kontrolle darüber zu geben, was ein Dritter tun darf. Eine Session zu leihen, nimmt dir diese Kontrolle.
Wevion ist eine Plattform für Ad Operations, die Meta, Google, TikTok, Taboola, Snapchat und Outbrain über ihre offiziellen APIs verbindet (OAuth bei Meta, Google, TikTok und Snapchat), Daten etwa alle 15 Minuten synchronisiert und Wavo, den KI-Copilot, Änderungen vorschlagen lässt, die du freigibst, während Regeln nur bei den Bedingungen handeln, die du festlegst.
So prüfst und schützt du dein Setup
Egal, ob du Grey-Hat-Tools genutzt hast oder nicht: Ein kurzer Check zeigt, was gerade auf deine Werbekonten zugreifen kann, und ein paar Gewohnheiten halten es so.
Sofort-Checks
- Kontenübersicht, Passwort und Sicherheit, Wo du angemeldet bist: Achte auf Sessions von Geräten oder Orten, die du nicht kennst.
- Facebook-Einstellungen, Unternehmensintegrationen und Apps und Websites: Entferne jede App, die du nicht kennst oder nicht mehr nutzt.
- Unternehmenseinstellungen, Personen und Systemnutzer: Prüf, ob es unbekannte Personen, offene Einladungen oder System User Tokens gibt, die du nicht erstellt hast.
- Aktivität im Werbekonto: Geh die letzten Änderungen durch und achte auf alles, was du nicht selbst gemacht hast.
- Browser-Erweiterungen: Entferne in jedem Profil, in dem du dich bei Facebook anmeldest, was du nicht brauchst, besonders alles mit Zugriff auf alle Websites.
Wenn du eine Kompromittierung vermutest
- Melde dich in der Kontenübersicht von allen Sessions ab.
- Ändere dein Facebook-Passwort.
- Aktiviere die Zwei-Faktor-Authentifizierung, am besten mit einer Authenticator-App statt per SMS.
- Entferne unbekannte Apps und autorisiere nur die erneut, denen du vertraust.
- Prüf die Werbekonten auf Kampagnen oder Budgetänderungen, die du nicht gemacht hast.
- Prüf dein Business-Portfolio auf unbekannte Personen oder Systemnutzer.
- Melde unbefugten Zugriff über den Hilfebereich für Unternehmen von Meta und überleg, die Zahlungsmethoden der betroffenen Werbekonten zu ersetzen.
Laufende Gewohnheiten
- Nutze ein eigenes Browser-Profil für Werbekonten, mit wenigen Erweiterungen und nichts, was mit Geld zu tun hat.
- Verlange Zwei-Faktor-Authentifizierung von allen in deinem Business-Portfolio.
- Prüf verbundene Apps und Systemnutzer regelmäßig und entziehe Zugriff, wenn jemand geht oder ein Tool ausgemustert wird.
- Bring dem Team die Grundlagen bei: Tokens oder Cookies nie teilen, offizielle OAuth-Verbindungen nutzen und Ungewöhnliches sofort melden.
Der Weg zu sicherem Ad-Management
Die Risiken beim Teilen von Tokens und Cookies sind nicht theoretisch: Sie folgen direkt daraus, einem Anbieter weiten, unbegrenzten Zugriff zu geben, dessen Sicherheit du nicht einsehen kannst. Offizielle API-Tools beseitigen diese Risikokategorie:
- Begrenzte Berechtigungen: Du entscheidest, worauf das Tool zugreifen kann
- Von Meta ausgestellte Tokens: Der Zugriff wird vom System von Meta selbst verwaltet
- Widerruf in deiner Hand: Entferne die App aus deinen Einstellungen, wann immer du willst
- Sichtbarkeit: Jede verbundene App steht in deinen Einstellungen
- Plattformregeln: Apps sind an die Plattform-Nutzungsbedingungen von Meta gebunden und durchlaufen für erweiterte Berechtigungen das App Review
- Kein Teilen von Passwörtern oder Cookies: Das Tool sieht nie dein Passwort oder deine Session
Das löst auch das Teamproblem, das viele Buyer zu geteilten Logins treibt. In Wevion verbindest du dein Meta-Konto einmal über den Dialog von Meta selbst und lädst dann Kollegen per E-Mail mit Rollen und Berechtigungen ein, sodass niemand ein Facebook-Login übergeben muss. Einen Blick auf die Tools, die den anderen Weg gehen, wirft unser Vergleich von Facebook-Autolaunch-Tools.
Bereit, keine Tokens und Cookies mehr zu teilen? Starte deine 14-tägige kostenlose Testphase von Wevion: offizielle Meta API, Authentifizierung per OAuth, keine geteilten Passwörter oder Cookies.
Weiterführende Artikel: