BIMI einrichten: Record, SVG-Logo und VMC

Was BIMI ist und was es bringt

BIMI (Brand Indicators for Message Identification) ist eine Spezifikation der AuthIndicators Working Group, die es Domaininhabern erlaubt, ein Logo zu veröffentlichen, das der Empfänger neben authentifizierten Mails anzeigt. Der Mailclient holt das Logo nicht aus der Mail, sondern aus dem DNS der Absenderdomain, und nur dann, wenn die Mail DMARC bestanden hat. Ein Angreifer, der die Domain fälscht, bekommt das Logo also nicht.

Der Nutzen ist doppelt. Für die Marke bedeutet ein Logo im Posteingang Wiedererkennung, und Absender berichten von messbar höheren Öffnungsraten, weil die Mail zwischen Text-Avataren auffällt. Für die Sicherheit ist BIMI vor allem ein Hebel, um DMARC endlich durchzusetzen: Ohne p=quarantine oder p=reject gibt es kein Logo, und das ist für viele Marketingabteilungen das erste überzeugende Argument für eine strenge Policy.

Voraussetzung: DMARC mit Durchsetzung

BIMI setzt eine funktionierende E-Mail-Authentifizierung voraus. Die Domain braucht SPF und DKIM, und mindestens eines von beiden muss aligned zur From-Domain passen. Darüber liegt DMARC mit einer Policy, die tatsächlich etwas bewirkt: p=quarantine oder p=reject. Bei p=quarantine muss pct=100 gelten oder der Tag fehlen, denn ein pct=10 bedeutet, dass 90 Prozent der fehlgeschlagenen Mails weiterhin ungehindert zugestellt werden.

Auch die Subdomain-Policy zählt. Steht im Record sp=none, gilt die Durchsetzung nicht für Subdomains, und die meisten Empfänger lehnen BIMI dann ab. Entweder du entfernst sp= ganz, dann erbt jede Subdomain die Hauptpolicy, oder du setzt sp= auf quarantine oder reject. Wenn deine Domain noch auf p=none steht, ist der Umstieg auf eine strenge Policy der erste Schritt, alles andere kommt danach.

Mindestanforderung:
_dmarc.beispiel.de.  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@beispiel.de"

Besser:
_dmarc.beispiel.de.  TXT  "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@beispiel.de"

Das Logo als SVG Tiny PS

BIMI akzeptiert kein PNG und kein beliebiges SVG, sondern nur das Profil SVG Portable/Secure, kurz SVG Tiny PS. Es ist eine Untermenge von SVG Tiny 1.2, aus der alles entfernt wurde, was ein Mailclient nicht sicher rendern kann. Die Datei darf keine Skripte, keine externen Referenzen, keine eingebetteten Rasterbilder über URLs und keine Animationen enthalten. Das Wurzelelement muss version="1.2" und baseProfile="tiny-ps" tragen, darf keine x- und y-Attribute haben und braucht ein title-Element mit dem Markennamen.

Das Logo muss quadratisch sein, also eine viewBox mit gleicher Breite und Höhe. Die Clients schneiden das Quadrat je nach Oberfläche zu einem Kreis zu, deshalb gehört das eigentliche Motiv in die Mitte mit etwas Rand. Ein transparenter Hintergrund ist zulässig, wird aber nicht empfohlen, weil das Logo dann je nach Dark Mode auf schwarz oder weiß liegt. Ein gefüllter Hintergrund in der Markenfarbe sieht überall gleich aus. Die Dateigröße sollte unter 32 KB bleiben, große Pfadmengen aus Illustrationsprogrammen lassen sich mit einem SVG-Optimierer meist deutlich verkleinern.

Für die Konvertierung gibt es mehrere Wege. Adobe Illustrator bietet über ein Skript der AuthIndicators Working Group einen direkten Export nach SVG Tiny PS. Alternativ exportierst du ein normales SVG und lässt es von einem BIMI-SVG-Konverter umschreiben, mehrere Zertifikatsaussteller stellen solche Werkzeuge kostenlos bereit. Am Ende sollte die Datei etwa so beginnen:

<?xml version="1.0" encoding="UTF-8"?>
<svg xmlns="http://www.w3.org/2000/svg" version="1.2" baseProfile="tiny-ps" viewBox="0 0 512 512">
  <title>Beispiel GmbH</title>
  <rect width="512" height="512" fill="#0a3d62"/>
  <path d="..." fill="#ffffff"/>
</svg>

Logo bereitstellen und DNS-Record anlegen

Die SVG-Datei muss über HTTPS erreichbar sein, mit gültigem Zertifikat und ohne Weiterleitung auf http. Der Webserver sollte sie mit dem Content-Type image/svg+xml ausliefern. Die URL ist Teil des DNS-Records, also wähle einen Pfad, den du nicht bei jedem Relaunch der Website umbaust, etwa https://beispiel.de/bimi/logo.svg.

Der BIMI-Record ist ein TXT-Record unter dem Selektor default und dem Label _bimi. Der Tag l= enthält die URL des Logos, der optionale Tag a= die URL des Zertifikats im PEM-Format. Ohne Zertifikat lässt du a= weg oder leer.

Ohne Zertifikat:
default._bimi.beispiel.de.  TXT  "v=BIMI1; l=https://beispiel.de/bimi/logo.svg;"

Mit VMC oder CMC:
default._bimi.beispiel.de.  TXT  "v=BIMI1; l=https://beispiel.de/bimi/logo.svg; a=https://beispiel.de/bimi/vmc.pem"

Der Selektor default wird verwendet, wenn die Mail keinen Header BIMI-Selector enthält. Über diesen Header kann ein Absender einen anderen Selektor wählen, etwa um für eine Produktlinie ein anderes Logo zu zeigen. In der Praxis brauchen das wenige Domains, und die meisten Empfänger werten den Header ohnehin nur aus, wenn er von der DKIM-Signatur abgedeckt ist. Bleib bei default, solange du keinen konkreten Grund hast.

VMC und CMC: Wann du ein Zertifikat brauchst

Ein Verified Mark Certificate (VMC) ist ein X.509-Zertifikat, das bestätigt, dass die Organisation hinter der Domain Inhaberin einer eingetragenen Wortbildmarke ist und dass das Logo in der SVG-Datei dieser Marke entspricht. Die Aussteller sind DigiCert und Entrust. Die Prüfung ähnelt der für Extended-Validation-Zertifikate: Nachweis der Organisation, Nachweis der Markeneintragung bei einem anerkannten Markenamt wie DPMA, EUIPO oder USPTO, und eine Identitätsprüfung eines Vertreters. Das Zertifikat enthält das Logo selbst, Empfänger vergleichen es mit der Datei aus l=.

Das Common Mark Certificate (CMC) ist seit 2024 die Alternative für Organisationen ohne eingetragene Marke. Es setzt voraus, dass das Logo nachweislich seit mindestens zwölf Monaten in Gebrauch ist, was etwa über archivierte Webseiten belegt wird. Gmail zeigt mit einem CMC das Logo, aber nicht das blaue Häkchen, das nur mit VMC erscheint. Beide Zertifikate kosten grob 1.000 bis 1.500 Euro pro Jahr, das CMC liegt etwas darunter. Dazu kommen die Kosten der Markenanmeldung, falls noch keine Marke besteht.

Ob du ein Zertifikat brauchst, hängt davon ab, wo das Logo erscheinen soll. Gmail und Apple Mail zeigen es nur mit VMC oder CMC. Yahoo und AOL zeigen Logos auch ohne Zertifikat, sofern DMARC durchgesetzt wird und der Absender eine gute Reputation hat. Microsoft hat 2025 begonnen, BIMI in Outlook zu unterstützen, ebenfalls mit Zertifikatspflicht. Für Domains, die vor allem an Privatkunden mit Gmail-Adressen senden, ist das Zertifikat damit praktisch Pflicht. Für eine Domain mit überwiegend geschäftlichen Empfängern ist es oft nicht wirtschaftlich, und ein Record ohne a= schadet nicht.

Schritt für Schritt

Die Reihenfolge ist wichtig, weil das Zertifikat das fertige Logo braucht und der Record das Zertifikat. Wer den Record zuerst anlegt und später das Logo tauscht, muss das Zertifikat neu ausstellen lassen.

1. DMARC prüfen: p=quarantine oder p=reject, pct=100 oder ohne pct, sp= nicht schwächer als p=. Falls nötig zuerst die Policy hochziehen.
2. Logo als quadratisches SVG erstellen, in SVG Tiny PS konvertieren, title setzen, Hintergrund füllen, Dateigröße prüfen.
3. Logo unter einer festen HTTPS-URL ablegen und im Browser aufrufen, Content-Type kontrollieren.
4. Bei Bedarf VMC oder CMC bei DigiCert oder Entrust beantragen. Das Logo aus Schritt 2 wird dabei hochgeladen und darf danach nicht mehr verändert werden.
5. Zertifikat als PEM-Datei neben dem Logo ablegen, ebenfalls über HTTPS.
6. TXT-Record unter default._bimi anlegen mit l= und, falls vorhanden, a=.
7. Nach Ablauf der TTL den Record mit dem BIMI Checker prüfen und eine Testmail an ein Gmail- und ein Yahoo-Postfach senden.

Prüfen und typische Fehler

Der BIMI Checker von DomainWarn prüft die ganze Kette: ob die DMARC-Policy die Anforderungen erfüllt, ob der Record unter default._bimi syntaktisch korrekt ist, ob die SVG-Datei über HTTPS erreichbar ist und dem Profil Tiny PS entspricht, und ob eine Zertifikatsangabe vorhanden und abrufbar ist. Wenn dort alles grün ist und das Logo trotzdem nicht erscheint, liegt es meist an Reputation oder Wartezeit, nicht an der Konfiguration.

Die Fehler, die in der Praxis am häufigsten auftauchen:

• SVG nicht im Profil Tiny PS: baseProfile fehlt, Skripte oder externe Referenzen enthalten, oder ein normales Illustrator-SVG mit x- und y-Attributen
• DMARC auf p=none oder mit pct kleiner 100, sodass Empfänger die Domain nicht als geschützt ansehen
• Logo per http oder hinter einer Weiterleitung, sodass der Abruf fehlschlägt
• Record unter _bimi.beispiel.de oder bimi.beispiel.de statt default._bimi.beispiel.de
• Logo nicht quadratisch, weil die viewBox aus dem Exportprogramm die Maße des Motivs statt eines Quadrats hat
• Zertifikat passt nicht zum Logo: Nach der Ausstellung wurde die SVG-Datei noch einmal optimiert oder umgefärbt, und die Hashes stimmen nicht mehr überein
• Zertifikat auf eine andere Domain ausgestellt als die, unter der der Record liegt
• Logo mit transparentem Hintergrund, das im Dark Mode unleserlich ist

Wann das Logo erscheint

Nach dem Anlegen des Records dauert es bei Yahoo meist wenige Tage, bei Gmail ein bis zwei Wochen. Die Anbieter cachen das Logo und die Prüfergebnisse, und Gmail verlangt zusätzlich, dass die Domain regelmäßig Mails mit DMARC pass sendet und keine auffällige Spam-Rate hat. Eine Domain, die nur gelegentlich sendet oder erst kürzlich auf reject umgestellt wurde, braucht länger. Das Logo erscheint außerdem nur bei Mails, die DMARC tatsächlich bestanden haben; eine einzelne Mail über einen nicht aligned Absender zeigt weiterhin die Initialen.

Wenn du das Logo später austauschst, gilt dieselbe Wartezeit, und bei VMC oder CMC ist ein neues Zertifikat fällig. Plane Logoänderungen deshalb zusammen mit der Zertifikatslaufzeit.

Häufige Fragen

Kann ich BIMI ohne Zertifikat einrichten?

Ja. Der Record ist ohne a= gültig, und Yahoo sowie AOL zeigen das Logo dann trotzdem. Gmail, Apple Mail und Outlook verlangen ein VMC oder CMC. Ein Record ohne Zertifikat ist eine sinnvolle Vorstufe, weil du damit Logo, Hosting und DMARC schon einmal sauber prüfen kannst.

Reicht p=quarantine für BIMI?

Ja, solange pct=100 gilt oder der Tag fehlt und die Subdomain-Policy nicht auf none steht. Manche Empfänger gewichten reject bei der Entscheidung, ob das Logo angezeigt wird, aber die Spezifikation verlangt nur die Durchsetzung.

Was passiert, wenn das Logo vorübergehend nicht erreichbar ist?

Empfänger cachen das Logo eine Weile, ein kurzer Ausfall fällt meist nicht auf. Ist die Datei über Tage nicht erreichbar oder hat sie sich verändert, verschwindet das Logo, und die Wartezeit beginnt von vorn. Deshalb gehört die URL ins Monitoring.