Google Cloud Platform-Anbindung

Wenn dein Server Side GTM Container bei owntag läuft, hat er zunächst keinen Zugriff auf dein Google Cloud-Projekt. Ein Google Service Account schließt diese Lücke — er ermöglicht deinem SGTM Container, sich gegenüber Google Cloud-Diensten wie BigQuery und Firestore zu authentifizieren, direkt aus deinen Tags und Variablen heraus.

In dieser Anleitung zeigen wir dir, wie du einen Service Account erstellst, die richtigen Berechtigungen vergibst und ihn mit deinem owntag Container verbindest.

Was ermöglicht ein Google Service Account?

Server Side GTM bringt eingebaute APIs für BigQuery und Firestore mit, die von Tag- und Variablen-Templates genutzt werden können. Viele Community-Templates setzen diese APIs voraus. Ohne verbundenen Service Account funktionieren sie schlicht nicht — mit einem eröffnen sie dir mächtige Möglichkeiten:

BigQuery und Firestore sind mit Abstand die häufigsten Anwendungsfälle. Wenn du gerade erst einsteigst, konzentriere dich auf diese beiden.

Schritt 1: Service Account in Google Cloud erstellen

Du benötigst ein Google Cloud Platform-Projekt. Falls du noch keines hast, kannst du eins unter console.cloud.google.com erstellen.

1. Navigiere in der Google Cloud Console zu IAM & Admin → Service Accounts (bzw. IAM & Verwaltung → Dienstkonten).
2. Klicke auf Create Service Account (bzw. Dienstkonto erstellen).
3. Vergib einen aussagekräftigen Namen, zum Beispiel sgtm-owntag. Die E-Mail-Adresse wird automatisch generiert.
4. Klicke auf Create and Continue (bzw. Erstellen und fortfahren).

Schritt 2: IAM-Rollen zuweisen

Im nächsten Schritt wirst du aufgefordert, dem Service Account Rollen zuzuweisen. Die Rollen legen fest, auf welche Google Cloud-Dienste dein SGTM Container zugreifen darf.

Vergib nur die Rollen, die du tatsächlich brauchst. Hier sind die gängigsten:

Für Google Sheets ist keine IAM-Rolle nötig — stattdessen teilst du die Tabelle direkt mit der E-Mail-Adresse des Service Accounts (genauso wie mit einem Kollegen).

Wähle die benötigten Rollen aus und klicke anschließend auf Continue und Done.

Schritt 3: JSON Key erstellen und herunterladen

1. Klicke in der Service Accounts-Liste auf den gerade erstellten Service Account.
2. Wechsle zum Tab Keys.
3. Klicke auf Add Key → Create new key.
4. Wähle JSON als Schlüsseltyp und klicke auf Create.
5. Die JSON Key-Datei wird automatisch auf deinen Rechner heruntergeladen.

Schritt 4: Benötigte APIs aktivieren

Jeder Google Cloud-Dienst erfordert, dass seine API in deinem Projekt aktiviert ist. Navigiere zu APIs & Services → Library in der Google Cloud Console und aktiviere die APIs, die du brauchst:

• BigQuery API — wenn du Daten in BigQuery streamen möchtest
• Cloud Firestore API — wenn du Firestore für Datenanreicherung oder Lookups nutzen möchtest

Der API-Name in der Suchleiste reicht in der Regel aus, um die richtige API schnell zu finden. Klicke bei jeder auf Enable.

Schritt 5: Key bei owntag hochladen

1. Logge dich in der owntag Console unter console.owntag.eu ein.
2. Öffne den Container, den du verbinden möchtest.
3. Klicke in der Seitenleiste auf Google Service Account.
4. Ziehe deine JSON Key-Datei per Drag & Drop in den Upload-Bereich — oder klicke auf Select JSON file, um sie über den Datei-Dialog auszuwählen.

Das war’s. owntag validiert die Datei, speichert sie sicher ab und stellt sie deinem SGTM Container bereit. Die Änderung wird innerhalb weniger Sekunden wirksam.

Nach dem Upload siehst du die Metadaten deines Keys — den Dateinamen, deine Google Cloud Project ID und die E-Mail-Adresse des Service Accounts. Der eigentliche Schlüsselinhalt wird aus Sicherheitsgründen nie angezeigt.

Key verwalten

Du kannst den Key jederzeit ersetzen, indem du eine neue JSON-Datei hochlädst. Das ist besonders praktisch für die Schlüsselrotation: Erstelle einen neuen Key in Google Cloud, lade ihn bei owntag hoch, überprüfe, ob alles funktioniert, und lösche anschließend den alten Key in Google Cloud.

Um den Service Account komplett zu entfernen, klicke auf Delete key. Dein SGTM Container läuft danach ganz normal weiter, nur BigQuery, Firestore und andere Google Cloud-Integrationen funktionieren dann nicht mehr.

Integration prüfen

Am einfachsten prüfst du die Verbindung über den Preview Mode deines SGTM:

1. Öffne im Google Tag Manager deinen Server Container und klicke auf Preview (Vorschau).
2. Richte ein Tag oder eine Variable ein, die BigQuery oder Firestore nutzt (z. B. die eingebaute Firestore Lookup-Variable oder ein BigQuery-Tag aus der Template Gallery).
3. Löse ein Event aus und prüfe das Debug-Panel.

Wenn der Service Account korrekt konfiguriert ist, siehst du erfolgreiche Lese- oder Schreibvorgänge. Bei Problemen zeigt das Debug-Panel in der Regel eine aussagekräftige Fehlermeldung — meistens fehlt entweder eine API (zurück zu Schritt 4) oder die Berechtigungen reichen nicht aus (zurück zu Schritt 2).

Anwendungsfall: Events zu BigQuery streamen

BigQuery ist einer der häufigsten Gründe, einen Service Account einzurichten. Damit kannst du jedes Event, das an deinem SGTM Container ankommt, direkt in BigQuery streamen — und bekommst so Zugriff auf ungesampelte Rohdaten, die du vollständig kontrollierst.

Was du dafür brauchst:

• Ein BigQuery-Dataset und eine Tabelle in deinem Google Cloud-Projekt (erstelle sie in der BigQuery Console)
• Die Rolle BigQuery Data Editor auf deinem Service Account
• Die BigQuery API muss in deinem Projekt aktiviert sein
• Ein Tag-Template, das Daten in eine BigQuery Tabelle schreibt (z. B. Googles GA4-to-BigQuery-Tag aus der Template Gallery)

Installiere das Tag-Template in deinem Server GTM Container, konfiguriere es mit deinen Dataset- und Table-IDs und richte einen Trigger für die gewünschten Events ein. Jedes passende Event wird nahezu in Echtzeit in deine BigQuery-Tabelle gestreamt.

Anwendungsfall: Events mit Firestore anreichern

Firestore ermöglicht deinem SGTM Container, Daten in Echtzeit nachzuschlagen und an ausgehende Events anzuhängen. Ein klassischer Anwendungsfall: gehashte Kunden-E-Mails in Firestore speichern und bei jedem Event nachschlagen, um die Match Quality für Meta Conversions API (CAPI) oder Google Ads Enhanced Conversions zu verbessern.

Was du dafür brauchst:

• Eine Firestore-Datenbank im Native Mode in deinem Google Cloud-Projekt
• Die Rolle Cloud Datastore User auf deinem Service Account
• Die Cloud Firestore API muss in deinem Projekt aktiviert sein

Server GTM hat eine eingebaute Firestore Lookup-Variable — es muss kein Template installiert werden. Konfiguriere sie mit einem Collection-Pfad und einer Document-ID, und sie gibt die Dokumentdaten zur Verwendung in deinen Tags zurück.

Sicherheitsempfehlungen

Ein Service Account JSON Key gewährt dauerhaften Zugriff auf deine Google Cloud-Ressourcen. Gehe entsprechend sorgfältig damit um:

• Minimale Rechte. Vergib nur die IAM-Rollen, die dein SGTM Container tatsächlich braucht. Verwende niemals breite Rollen wie “Editor” oder “Owner”.
• Ein Service Account pro Zweck. Erstelle einen dedizierten Service Account für owntag, anstatt einen vorhandenen wiederzuverwenden.
• Keys regelmäßig rotieren. Erstelle einen neuen Key, lade ihn bei owntag hoch, stelle sicher, dass alles funktioniert, und lösche dann den alten Key in Google Cloud.
• Datei nicht weitergeben. Versende die Key-Datei nicht per E-Mail oder Messenger. Wenn du sie übergeben musst, nutze einen sicheren Kanal.

Datenschutz

Der Google Service Account verbindet deinen SGTM Container mit deinem eigenen Google Cloud-Projekt. Die Daten fließen direkt zwischen deinem Container und Google Cloud — owntag fängt die Daten, die über diese Verbindung laufen, weder ab, noch speichert oder verarbeitet es sie.

Dein SGTM Container läuft weiterhin auf owntag’s europäischer Infrastruktur. Der Service Account ermöglicht lediglich die Authentifizierung gegenüber Google Cloud APIs. Wo die Daten letztlich landen (z. B. ein BigQuery-Dataset in der EU-Region europe-west3), bestimmst du über die Konfiguration deines Google Cloud-Projekts.

Kurzreferenz: IAM-Rollen

Kurzreferenz: Zu aktivierende APIs