Was ist Brand Indicators for Message Identification (BIMI)?

Brand Indicators for Message Identification (BIMI) ist der E-Mail-Standard, der Ihr verifiziertes Markenlogo neben den von Ihnen gesendeten Nachrichten anzeigt. Bringen Sie DMARC auf Durchsetzung, besorgen Sie ein Markenzertifikat und ein konformes SVG-Logo, veröffentlichen Sie den BIMI-Record – und Ihr Logo erscheint bei Empfängern teilnehmender Provider wie Gmail.

Voraussetzung ist, dass DMARC für Ihre Domain im Durchsetzungsmodus ist. Nach den aktuellen Regeln der Provider bedeutet das eine DMARC-Policy von p=quarantine oder p=reject, die auf Ihre gesamte E-Mail angewendet wird; wenn Sie eine Subdomain-Policy veröffentlichen, muss auch der sp=-Wert auf Durchsetzung stehen. Eine reine Monitoring-Policy mit p=none wird nicht akzeptiert.

BIMI arbeitet mit zwei Arten von Nachweisen für Ihr Logo. Ein Verified Mark Certificate (VMC) belegt ein eingetragenes Markenzeichen. Ein Common Mark Certificate (CMC) deckt ein Logo ohne eingetragenes Markenzeichen ab, das Sie mindestens 12 Monate lang öffentlich auf einer eigenen Domain gezeigt haben. Gmail akzeptiert ein VMC oder ein CMC und zeigt seinen Verifizierungshaken nur bei einem VMC an.

Kombinieren Sie BIMI mit DMARC im Durchsetzungsmodus, und Ihr Logo kann in unterstützenden Posteingängen wie Gmail und Yahoo erscheinen. DMARC-Durchsetzung reduziert Spoofing der exakten Domain, verhindert aber nicht jede Form der Imitation, denn Lookalike-Domains und Tricks mit dem Display-Name bleiben möglich.

BIMI fügt Ihr Logo bei teilnehmenden Providern neben Ihrer E-Mail-Adresse ein. Es verhindert keinen Business Email Compromise (BEC) – das ist die Aufgabe von DMARC –, und wenn jemand Sie spooft, während BIMI eingerichtet ist, erscheint Ihr Logo nicht. Je nach Ihrer DMARC-Policy wird die Nachricht möglicherweise gar nicht zugestellt.

Wie Ihre SPF-, DKIM- und DMARC-Records liegt auch Ihr BIMI-Record als Text-Record (TXT) in Ihrem DNS. Wenn eine von Ihnen gesendete Nachricht den Posteingang des Empfängers erreicht, ruft der empfangende Server den Record ab, um zu bestätigen, dass die E-Mail per DMARC authentifiziert ist. Sobald die Nachricht DMARC bei p=quarantine oder p=reject besteht, teilt der TXT-Record dem empfangenden Server mit, wo das Logo liegt und welches Zertifikat es belegt; anschließend kann der Provider das Logo anzeigen.

Steht Ihre DMARC-Policy auf p=none, funktioniert BIMI nicht. Provider prüfen ein Logo erst, wenn die DMARC-Policy Ihrer Domain im Durchsetzungsmodus ist.

Ihre Voraussetzung ist hier die DMARC-Durchsetzung. Wenn Sie noch nicht so weit sind, lesen Sie zuerst, wie Sie die DMARC-Durchsetzung erreichen, und kehren Sie dann zu BIMI zurück.

Die Bereitschaftsprüfung umfasst sechs Bereiche. Erfüllen Sie alle sechs, bevor Sie ein Zertifikat beantragen oder einen Record veröffentlichen.

Arbeiten Sie die Phasen der Reihe nach ab. Jede Phase ist Voraussetzung für die nächste – beginnen Sie eine spätere Phase also erst, wenn die vorherige stabil ist.

Phase 1. DMARC-Durchsetzung erreichen. Prüfen Sie Ihre aktuelle DMARC-Policy, werten Sie die Aggregatberichte auf Authentifizierungsfehler aus, authentifizieren Sie jede legitime Versandquelle (einschließlich Drittanbieter wie ESPs und CRMs), wechseln Sie zu p=quarantine und anschließend zu p=reject, sobald Ihre Authentifizierungsabdeckung stabil ist. BIMI kann erst weitergehen, wenn Ihre Policy auf Durchsetzung steht und dort stabil bleibt. Dies ist meist die längste Phase, häufig etwa 6 bis 8 Wochen, abhängig davon, wie viele Absender Sie in Ordnung bringen müssen.

Phase 2. Logo vorbereiten und validieren. Konvertieren Sie Ihr Logo in SVG P/S, validieren Sie es anhand des BIMI-Profils aus Abschnitt 5 und hosten Sie es per HTTPS unter einer stabilen, öffentlichen URL. Halten Sie das Zeichen einfach, denn es wird als kleiner Avatar dargestellt, und feine Details oder dünne Schrift werden unleserlich. Enthält Ihre eingetragene Marke den Firmennamen als separaten Text, benötigen Sie eine Version, die ohne ihn funktioniert, da ein VMC-Logo mit dem Markenzeichen übereinstimmen muss. Ein CMC setzt kein Markenzeichen voraus, was mehr Flexibilität bei der Logowahl bietet.

Phase 3. Zertifikat beantragen. Wählen Sie die Art des Nachweises. Ein VMC erfordert ein eingetragenes Markenzeichen in einer anerkannten Jurisdiktion, ein CMC 12 Monate öffentlicher Logonutzung, und ein Government Mark Certificate ist für staatliche Stellen gedacht. Schließen Sie die Identitäts- und Domain-Control-Prüfung der Zertifizierungsstelle ab. Den Antrag können Sie über den Workflow in Red Sift OnDMARC einreichen. Sobald Sie die Voraussetzungen erfüllen, erfolgt die Ausstellung meist schnell, in etwa ein bis zwei Wochen; die Eintragung eines ganz neuen Markenzeichens für ein VMC kann jedoch Monate dauern.

Phase 4. BIMI-Record veröffentlichen. Erstellen Sie den TXT-Record mit Ihrer Logo-URL und Ihrer Zertifikats-URL, validieren Sie die Syntax, veröffentlichen Sie ihn in Ihrer DNS-Zone und planen Sie Zeit für die DNS-Propagation ein, meist ein bis zwei Tage. Prüfen Sie dann Ihr BIMI, senden Sie Testnachrichten an Gmail, Yahoo und andere unterstützende Provider und vergewissern Sie sich, dass das Logo angezeigt wird. Nur ein VMC erzeugt den Verifizierungshaken in Gmail.

Phase 5. Überwachen und pflegen. Halten Sie DMARC auf Durchsetzung, lassen Sie sich bei jeder Herabstufung der Policy alarmieren, behalten Sie den Ablauf des Zertifikats im Blick und erneuern Sie es, bevor es abläuft. Abschnitt 9 behandelt Pflege und Rebrandings ausführlich.

Veröffentlichen Sie den Record als DNS-TXT-Eintrag an dieser Stelle.

default._bimi.example.com    IN TXT

Der Wert verwendet drei Tags.

v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/certificate.pem

• v= ist die Version und lautet immer BIMI1.
• l= ist die HTTPS-URL Ihrer SVG-P/S-Logodatei.
• a= ist die HTTPS-URL Ihres PEM-Zertifikats, eines VMC oder CMC.

Das a=-Tag ist in der BIMI-Spezifikation optional und einem VMC oder CMC vorbehalten. Ist a= leer oder fehlt es, ist der Record selbst deklariert, also ein Logo ohne Zertifikat. Selbst deklarierte Records werden von Providern nur eingeschränkt und uneinheitlich unterstützt und von Gmail nicht angezeigt.

Bei Providern, die ein Zertifikat voraussetzen, wird das Logo über das in a= angegebene Zertifikat gelesen. Die Datei unter l= und das an das Zertifikat gebundene Logo müssen daher dasselbe Zeichen sein.

Ihre SVG-Datei muss dem SVG-P/S-Profil entsprechen, einem Profil von SVG Tiny 1.2. Das Root-Element benötigt baseProfile="tiny-ps" und version="1.2" ohne x=- oder y=-Attribute am Root, ein <title>-Element mit dem Firmennamen ist Pflicht, die Grafik muss quadratisch sein und einen einfarbigen, nicht transparenten Hintergrund haben, und die Datei darf höchstens 32 KB groß sein und keine Skripte, Animationen oder externen Verweise enthalten.

Hosten Sie die Datei per HTTPS unter einer stabilen URL, liefern Sie sie mit dem MIME-Typ image/svg+xml aus und halten Sie sie öffentlich erreichbar – ohne Authentifizierung, Hotlink-, Geo- oder Robots-Sperren für Abrufe durch Provider.

Prüfen Sie nach der Veröffentlichung Ihr BIMI, um Record und Logo zu validieren.

Wenn Ihr Logo nicht angezeigt wird, gehen Sie diese Schritte zur Fehlerbehebung durch.

1. DMARC-Policy auf Durchsetzung. Vergewissern Sie sich, dass Ihre veröffentlichte Policy für alle E-Mails p=quarantine oder p=reject lautet, einschließlich eines etwaigen sp=. Nächster Schritt: Lesen Sie Ihren aktuellen DMARC-Record aus.
2. Alignment bei echten Nachrichten. Vergewissern Sie sich, dass tatsächlich gesendete Nachrichten DMARC mit übereinstimmendem SPF oder DKIM bestehen – nicht nur, dass ein Record existiert. Nächster Schritt: Prüfen Sie die Aggregatberichte oder senden Sie einen Test an eine Seed-Adresse.
3. BIMI-Record und Selektor. Vergewissern Sie sich, dass der TXT-Record unter default._bimi für die sendende Domain existiert, mit gültigen Werten für v=, l= und a= sowie dem Selektor, den Sie tatsächlich verwenden. Nächster Schritt: Fragen Sie den Record ab.
4. Gültigkeit der SVG-Datei. Vergewissern Sie sich, dass die Datei dem SVG-P/S-Profil aus Abschnitt 5 entspricht. Nächster Schritt: Validieren Sie die SVG-Datei.
5. Hosting, TLS, MIME, Weiterleitungen und Hotlinking. Vergewissern Sie sich, dass Logo und Zertifikat per HTTPS mit dem MIME-Typ image/svg+xml laden, ohne Weiterleitungskette und ohne Authentifizierung, Hotlink-, Geo- oder Robots-Sperre. Nächster Schritt: Rufen Sie beide URLs von außerhalb Ihres Netzwerks ab.
6. Gültigkeit von Zertifikat oder Nachweis. Vergewissern Sie sich, dass das VMC oder CMC aktuell und nicht abgelaufen ist, von einer anerkannten Zertifizierungsstelle ausgestellt wurde und an dasselbe Logo gebunden ist. Nächster Schritt: Prüfen Sie Gültigkeitszeitraum und Zeichen des Zertifikats.
7. Propagation und Cache. Planen Sie nach jeder Änderung Zeit für die DNS-Propagation und für die Aktualisierung des Provider-Caches ein. Nächster Schritt: Testen Sie nach der Propagation erneut.
8. Berechtigung beim Provider. Selbst wenn technisch alles stimmt, wendet jeder Provider eigene Regeln zu Reputation, Engagement und Ermessen an, und manche Provider wie Microsoft Outlook stellen eingehendes BIMI überhaupt nicht dar. Nächster Schritt: Prüfen Sie in Abschnitt 8, ob der jeweilige Provider BIMI für Ihren Fall unterstützt.

Die vollständigen Anforderungen, Jurisdiktionen und Rollen finden Sie unter VMC und CMC im Vergleich.

Die Unterstützung variiert je nach Provider, und einige stellen über eine gültige BIMI-Einrichtung hinaus eigene Bedingungen. Sehen Sie in der Zeile für die Provider nach, die Ihre Empfänger nutzen.

Wo Ihr Logo auf Desktop und Mobilgeräten erscheint. Dieselbe gültige Einrichtung kann auf den Geräten eines Lesers unterschiedlich aussehen – das ist wichtig, wenn Sie die Wirkung Ihrer Marke über Plattformen hinweg planen. Gmail zeigt das Logo im Web-Client sowie in den Android- und iOS-Apps, mit dem Verifizierungshaken (nur bei VMC) in der Nachrichtenansicht. Yahoo und AOL zeigen es in ihren Mobile-Apps in der Nachrichtenliste und der Leseansicht sowie im Desktop-Webmail in der Leseansicht. Apple Mail zeigt es in der Nachrichtenansicht unter macOS 13, iOS 16 und iPadOS 16 und neuer. Manche Oberflächen zeigen das Logo bereits in der Posteingangsliste, andere erst, wenn die Nachricht geöffnet ist. Testen Sie daher auf den Geräten, die Ihre Empfänger tatsächlich nutzen.

Apple Business Connect ist ein von BIMI unabhängiges Apple-Programm, und die Registrierung bei Business Connect ist nicht dasselbe wie die Veröffentlichung eines BIMI-Records.

Halten Sie die Einrichtung nach dem Go-live funktionsfähig. Halten Sie DMARC auf Durchsetzung und lassen Sie sich bei jeder Herabstufung alarmieren, denn das Logo wird nicht mehr angezeigt, wenn Ihre Policy unter die Durchsetzung fällt. Behalten Sie den Ablauf des Zertifikats im Blick, denn ein VMC oder CMC ist etwa ein Jahr gültig, höchstens 397 Tage, und das Logo verschwindet, sobald es abläuft. Bei einer routinemäßigen Erneuerung ohne Logoänderung verwenden Sie Ihre bestehenden URLs weiter.

Ein Logowechsel ist etwas anderes als eine Erneuerung. Das Logo ist an das Zertifikat gebunden, ein neues Logo erfordert also ein neues Zertifikat. Gehen Sie bei einem Rebranding in dieser Reihenfolge vor: Validieren Sie die neue SVG-Datei anhand des BIMI-Profils, beschaffen Sie das aktualisierte Zertifikat bzw. den Nachweis für das neue Zeichen, hosten Sie die neuen Dateien per HTTPS, aktualisieren Sie die URLs in l= und a= in Ihrem DNS-Record, warten Sie die DNS-Propagation ab, validieren Sie den Record und senden Sie Testnachrichten. Wer ein zertifikatsgebundenes Logo ohne passendes neues Zertifikat ersetzt, unterbricht die Verbindung zum Zertifikat, und das Logo wird nicht mehr angezeigt.

Der naheliegendste nächste Schritt: Prüfen Sie Ihr BIMI. Dabei wird Ihre Domain getestet und angezeigt, was noch fehlt.

Wie es danach weitergeht, hängt davon ab, was Sie als Nächstes benötigen.

• Wenn Sie eine konforme Logodatei benötigen: Erstellen Sie ein BIMI-kompatibles SVG-Logo.
• Wenn Sie sich für einen Nachweis entscheiden müssen: VMC und CMC im Vergleich.
• Wenn Sie die Implementierung und Verwaltung lieber abgeben möchten: Holen Sie sich Unterstützung bei der BIMI-Implementierung.

• BIMI Group — Implementation Guide
• BIMI Group — FAQs for Senders and ESPs
• BIMI Group — Creating a BIMI SVG logo
• BIMI Group — Participating providers
• Google Workspace — Set up BIMI
• Yahoo Sender Hub — BIMI
• Apple — Support BIMI in Apple Mail
• Fastmail — Using BIMI
• DigiCert — Verified Mark Certificates
• DigiCert — BIMI setup guide (VMC and CMC)
• SSL.com — Common Mark Certificate