Webinar-Recap: Der Weg zu BIMI mit Mailgun und Red Sift

Jeder möchte sein Logo neben seinen E-Mails in Gmail sehen, aber nur wenige Unternehmen sind bereit, den nötigen Aufwand dafür zu betreiben. Gemeinsam haben Red Sift und Mailgun den gesamten Weg zu BIMI durchgespielt, von den Grundlagen der Authentifizierung bis zum BIMI-Antrag.

Webinar verpasst? Hier bringen wir Sie auf den neuesten Stand, oder Sie sehen sich die Aufzeichnung an.

BIMI ist die Belohnung dafür, DMARC auf Enforcement zu bringen. Und die meisten Unternehmen sind noch nicht so weit. Nur etwa 7 % der Organisationen haben DMARC vollständig auf quarantine oder reject gesetzt. Damit stehen rund 93 % der Domains jedem offen, der E-Mails in ihrem Namen versenden will.

Doch bevor wir über Logos gesprochen haben, ging es um die Grundlagen.

Jonathan Torres, Technical Account Manager bei Mailgun, hat eine sehr einfache Eselsbrücke für die Funktionsweise von SPF: Es ist, als stünde Ihr Name auf einer Gästeliste oder im Telefonbuch. Genauer gesagt ist der SPF-Eintrag ein einzelner TXT-Eintrag im DNS Ihrer Domain, der jeden Server und Dienst auflistet, der in Ihrem Namen E-Mails versenden darf.

Wenn eine Nachricht eintrifft, ruft der empfangende Server den SPF-Eintrag der Domain aus dem Return-Path ab und prüft, ob die sendende IP-Adresse auf der Liste steht. Allerdings kann ein Angreifer SPF mit einer eigenen Domain bestehen und trotzdem Ihre Marke in die „Von“-Zeile setzen. Deshalb reicht SPF allein als Schutz nicht aus, und deshalb kamen weitere Authentifizierungsmethoden hinzu.

DKIM funktioniert wie ein Schloss-und-Schlüssel-System. Sie veröffentlichen einen öffentlichen Schlüssel im DNS, und jede Nachricht, die Sie versenden, wird mit diesem Schlüssel signiert. Wenn eine Nachricht eintrifft, liest der empfangende Server Selector und Domain aus dem Header, ruft den öffentlichen Schlüssel ab und prüft die Signatur gegen die Nachricht. Die Signatur umfasst den Nachrichtentext und wichtige Header wie „Von“ und „Betreff“. Wird die Nachricht unterwegs verändert, schlägt DKIM fehl.

Wichtig: Die signierende Domain zählt genauso viel wie die Signatur selbst. Manche Anbieter signieren standardmäßig mit ihrer eigenen Domain, sodass Ihre E-Mails DKIM unter fremdem Namen bestehen. DMARC verlangt, dass die d=domain mit der Domain in Ihrer „Von“-Adresse übereinstimmt. Das heißt, Sie müssen DKIM bei jedem Dienst, der für Sie sendet, mit Ihrer eigenen Domain einrichten.

Wenn Sie befürchten, dass Ihr DKIM-Schlüssel geknackt wird, gibt es zwei sehr einfache Schutzmaßnahmen. Erstens: Verwenden Sie 2048-Bit-Schlüssel statt 1024-Bit-Schlüsseln, die deutlich schwerer zu knacken sind. Zweitens: Rotieren Sie sie regelmäßig. Viele Anbieter übernehmen die Rotation automatisch über CNAME-basierte Setups. Falls Ihrer das aus irgendeinem Grund nicht tut, planen Sie eine manuelle Rotation als Teil Ihres E-Mail-Security-Workflows ein.

Iris Cox, Customer Success Engineer bei Red Sift, hat es mit einem Bild aus der Eventwelt erklärt. SPF ist die Gästeliste, DKIM das Konferenz-Badge und DMARC der Türsteher, der entscheidet, wer hineinkommt. DMARC prüft, ob die Nachricht SPF oder DKIM mit einer Domain besteht, die zur „Von“-Adresse passt, die Empfänger sehen. Diese Übereinstimmung nennt man Alignment, und sie schließt die Spoofing-Lücke, die SPF und DKIM allein offenlassen.

Der p=-Tag legt Ihre DMARC-Richtlinie für fehlgeschlagene E-Mails fest. Bei p=none passiert mit nicht alignten Nachrichten nichts; Sie erhalten nur Reports. Bei p=quarantine landen fehlgeschlagene E-Mails im Spam. Und bei p=reject werden nicht passende Nachrichten abgewiesen. Der pct=-Tag legt fest, auf welchen Anteil der fehlgeschlagenen E-Mails die Richtlinie angewendet wird, und BIMI verlangt hier 100.

Die Zeiten, in denen man einfach einen Mailserver aufsetzte und auf Senden klickte, sind lange vorbei. Authentifizierung ist der neue Standard, und viele ESPs und Mailbox-Provider verlangen sie, bevor Sie überhaupt senden dürfen.

Am Ende geht es um Vertrauen. Mailbox-Provider wollen wissen, dass E-Mails, die angeblich von Ihrer Domain stammen, tatsächlich von dort kommen. Empfänger wollen dasselbe wissen. Wenn Absender sich korrekt authentifizieren, belohnen Inbox-Provider sie mit einer besseren Behandlung. Google, Yahoo und Microsoft verlangen inzwischen Authentifizierung für Bulk-Sender. Mailgun hat erläutert, was die Anforderungen von Gmail und Yahoo für Ihr Programm bedeuten, und direkt mit Yahoo über diese Anforderungen gesprochen, um die Sicht der Mailbox-Provider selbst zu verstehen. Dabei wurde klar: Reporting allein reichte nicht aus, um ihre Kunden zu schützen.

Und falls Sie denken „wir sind kein Bulk-Sender, das betrifft uns nicht“: Denken Sie noch einmal nach. Quittungen, Passwort-Resets und andere Transaktions-E-Mails summieren sich schnell, und die Volumengrenze ist leicht überschritten, ohne dass man es merkt. Viele Unternehmen sind Bulk-Sender und wissen es nur noch nicht.

Sobald Ihre Domain quarantine oder reject bei 100 % erreicht, können Sie endlich ein BIMI-Zertifikat beantragen. Mailgun nennt es Ihre Belohnung für solide Authentifizierung, und genau das ist es. Es besteht aus einem DNS-Eintrag und einer SVG-Version Ihres Logos, abgesichert durch ein Zertifikat, das beweist, dass Sie sind, wer Sie vorgeben zu sein.

Es gibt zwei Zertifikatstypen. Ein VMC (Verified Mark Certificate) setzt eine eingetragene Marke voraus. Ein CMC (Common Mark Certificate) setzt voraus, dass Sie Ihr Logo seit mindestens 12 Monaten öffentlich verwenden, was eine Zertifizierungsstelle prüft. So oder so erhalten Sie in Gmail Ihr Logo plus ein blaues Häkchen neben Ihrem Absendernamen. Die Details zu beiden finden Sie in der Übersicht von Red Sift zu den VMC- und CMC-Anforderungen.

BIMI im Alleingang umzusetzen ist frustrierend. Das SVG korrekt formatieren, den Eintrag prüfen und den Zertifikatsantrag bewältigen: An all dem scheitern viele. Deshalb haben wir BIMI Maker entwickelt, ein kostenloses Tool, das den gesamten Prozess so einfach wie möglich macht.

Sie können Ihr Logo im Hell- und Dunkelmodus, als Kreis und als abgerundetes Quadrat in der Vorschau ansehen und die Größe pixelgenau anpassen. BIMI Maker erzeugt dann ein konformes SVG. Anschließend wählen Sie Ihren Zertifikatstyp (heute CMC, VMC-Unterstützung folgt), verifizieren Ihre E-Mail-Adresse und erhalten eine vollständige Readiness-Analyse Ihres Eintrags und Logos. Sie können ein PDF Ihrer Nachweise herunterladen, sich die Ergebnisse per E-Mail schicken und den Antrag direkt dort starten.

Ein CMC kostet etwa 1.000 $ pro Jahr für die erste Domain. Weitere Domains mit demselben Logo gibt es zu einem reduzierten Preis von etwa 450 $ pro Domain.

Sammeln Sie zunächst einige Wochen lang DMARC-Reports und identifizieren Sie jeden Dienst, der in Ihrem Namen sendet. Sortieren Sie sie in das, wofür Sie bezahlen, das, was Sie zulassen, und das, was niemals E-Mails senden sollte. Entfernen Sie veraltete SPF-Einträge, authentifizieren Sie die legitimen Absender und stoppen Sie den Rest. Wechseln Sie dann zuerst zu quarantine und danach zu reject. Direkt von none auf reject zu springen, führt garantiert zu unerwarteten Bounces, es sei denn, es handelt sich um eine geparkte Domain.

Dabei zählt Koordination genauso viel wie Konfiguration. Teams stellen regelmäßig fest, dass das Recruiting oder eine andere Abteilung von der Hauptdomain aus gesendet hat, ohne dass die IT davon wusste. Kündigen Sie die Änderung breit an, arbeiten Sie sich von der Hauptdomain zu den Subdomains vor und rechnen Sie in größeren Organisationen mit mehr Überraschungen.

Sowohl direkt als auch indirekt. Mailbox-Provider konzentrieren sich hauptsächlich auf DMARC. Die größere Wirkung von BIMI geht von den Empfängern aus. Wenn Menschen Ihre Marke im Posteingang erkennen, öffnen sie E-Mails häufiger und interagieren mehr, und dieses Engagement sorgt für eine stärkere Reputation und eine bessere Zustellung in den Posteingang. Immer mehr Organisationen verschärfen ihre Inbound-Richtlinien und akzeptieren nur noch E-Mails von Domains mit DMARC-Enforcement, und manche könnten bald BIMI verlangen. Deren Inbound kontrollieren Sie nicht. Ihren Outbound schon.

In einer Studie von Red Sift, die E-Mails mit und ohne sichtbares Logo verglichen hat, sahen wir bis zu 44 % mehr Markenerinnerung, 39 % höhere Öffnungsraten und 32 % mehr Kaufabsicht.

• Testen Sie BIMI Maker kostenlos und sehen Sie, wie nah Ihre Domain an BIMI-Readiness ist.
• Erstellen Sie ein kostenloses OnDMARC-Konto bei Red Sift und sehen Sie, wer in Ihrem Namen sendet.
• Brauchen Sie Hilfe beim Versand? Mailgun bietet kostenlose Konten sowie Deliverability-Services, unterstützt durch das Technical-Account-Management-Team von JT.