BIMI: das verifizierte Logo der Marke in Gmail und darüber hinaus anzeigen

Von Thomas · virtueller CISO · 11. August 2026

Es gibt einen Ort im Posteingang, an dem sich in Sekundenbruchteilen entscheidet, wie viel Vertrauen ein Empfänger einer E-Mail schenkt: das kleine Symbol links vom Absender. Standardmäßig ist es eine graue Initiale oder ein generisches Foto. BIMI erlaubt es, dort stattdessen das verifizierte Logo der Marke anzuzeigen — dasselbe Wiedererkennungssignal wie auf der Website oder in der App, genau dort platziert, wo der Empfänger entscheidet, ob die Nachricht echt ist. Aber BIMI ist kein kosmetischer Schalter, den man umlegt: Es ist die Belohnung für eine bereits geschützte Domain. Dieser Artikel erklärt, was BIMI ist, wie man es veröffentlicht und warum es zuletzt kommt, nie zuerst.

Was BIMI konkret ist

BIMI (Brand Indicators for Message Identification) ist ein offener Standard, der Mailbox-Anbietern sagt, welches Logo neben den authentifizierten E-Mails einer Domain anzuzeigen ist. Technisch wird ein DNS-Eintrag veröffentlicht, der auf das Logo zeigt; unterstützende Postfächer holen dieses Logo, wenn sie eine Nachricht empfangen, die die Authentifizierung besteht, und zeigen es an.

Der Wert ist nicht nur ästhetisch. In einem übersättigten Posteingang wirkt ein verifiziertes Logo als Legitimitätshinweis: Es unterscheidet die authentische Post sofort vom Rauschen — und lässt eine logolose Fälschung sichtbar verdächtig wirken. Für eine Marke, deren Kundenbeziehung auf Vertrauen beruht (Bank, E-Commerce, öffentlicher Dienst, Gesundheitswesen), ist dieser Platz ein seltener Aktivposten: ein Markensignal, das der Anbieter selbst anzeigt und das Fälscher nicht reproduzieren können.

Die nicht verhandelbare Voraussetzung: DMARC in Durchsetzung

Hier ist der Punkt, den die meisten zu spät entdecken: BIMI verlangt, dass die Domain in einer DMARC-Durchsetzungsrichtlinie ist — p=quarantine oder idealerweise p=reject. Eine Domain auf p=none kann kein Logo anzeigen, so gut dieses auch sein mag.

Die Logik ist zwingend. BIMI sagt „zeige mein Logo auf authentifizierten Nachrichten meiner Domain". Ist die Domain fälschbar (weil sie DMARC nicht durchsetzt), würde das Anzeigen des Logos die betrügerischen E-Mails mit demselben Vertrauensabzeichen schmücken wie die echten — das genaue Gegenteil des Ziels. Anbieter weigern sich daher strikt, ein Logo anzuzeigen, solange die Domain die Fälschung nicht blockiert.

Deshalb ist BIMI als letzte Sprosse der Leiter zu sehen, nicht als erste. p=none dokumentiert die Exposition; p=quarantine und p=reject schließen sie; BIMI verwandelt diese hart erarbeitete Durchsetzung in ein kundensichtbares Signal. Die vollständige Abfolge, um die Durchsetzung ohne Bruch der Post zu erreichen, steht in p=reject erreichen, ohne die E-Mails zu brechen — das ist die eigentliche Arbeit, und BIMI ist das Sahnehäubchen.

Wie BIMI technisch funktioniert

Sobald die Domain durchsetzt, ruht die BIMI-Mechanik auf drei Teilen:

Einem DNS-Eintrag vom Typ TXT, veröffentlicht unter default._bimi.beispiel.de, in der Form: v=BIMI1; l=https://beispiel.de/logo.svg; a=https://beispiel.de/vmc.pem Das l=-Tag zeigt auf das Logo; das a=-Tag (im Standard optional, aber von den großen Anbietern verlangt) zeigt auf das Zertifikat.
Dem Logo selbst, über HTTPS gehostet, in einem sehr genauen Format (siehe unten).
Einem Markenzertifikat (VMC), das dieses Logo kryptografisch an die Identität der Organisation bindet. Es hat seinen eigenen Artikel: das VMC-Zertifikat für BIMI.

Empfängt ein unterstützender Anbieter eine E-Mail, die DMARC in Durchsetzung besteht, liest er den BIMI-Eintrag, prüft das Zertifikat, holt das Logo und zeigt es an. Alles ruht auf der Authentifizierungskette: keine Ausrichtung, keine Durchsetzung, kein Logo.

Das Logo: ein anspruchsvolles Format

Eine beliebige Datei genügt nicht. BIMI schreibt SVG Tiny Portable/Secure (SVG Tiny PS) vor — ein eingeschränktes Profil des SVG-Formats, ohne Skript oder externes Element, entworfen, um sicher zu sein und überall identisch gerendert zu werden. Das Logo muss zudem quadratisch sein (es erscheint je nach Client in einem Kreis oder Quadrat), vorzugsweise mit vollem statt transparentem Hintergrund, und zentriert, um in sehr kleiner Größe lesbar zu bleiben.

In der Praxis stellen viele Organisationen fest, dass ihr bestehendes Vektorlogo nicht konform ist und von einem Grafiker überarbeitet oder über ein dediziertes Werkzeug konvertiert werden muss. Kein Blocker, aber ein Schritt, den man einplanen sollte: Ein schlecht profiliertes SVG wird von den Anbietern abgelehnt, und das Logo erscheint nicht, selbst bei einem sonst korrekten Eintrag.

Wo das Logo erscheint

Die BIMI-Unterstützung hat sich in den letzten Jahren verbreitert. Zu den wichtigsten Postfächern, die BIMI-Logos anzeigen, zählen Gmail, Apple Mail (ab neueren iOS- und macOS-Versionen), Yahoo Mail sowie mehrere Akteure wie Fastmail oder La Poste. Die Abdeckung entwickelt sich weiter, erreicht aber inzwischen einen mehrheitlichen Anteil der Privatempfänger.

Ein Vorbehalt jedoch: Die meisten dieser Anbieter — Gmail voran — verlangen ein Zertifikat (ein VMC), um das Logo anzuzeigen. Einige kleinere Postfächer akzeptieren einen Eintrag ohne Zertifikat, aber die Postfächer, die wirklich zählen, wollen den Beweis, dass das Logo dem Absender gehört. Die Frage „Geht BIMI ohne Zertifikat?" verdient ihre eigene Behandlung: BIMI ohne VMC, ist das möglich.

Warum es sich lohnt

Über die Ästhetik hinaus hat das verifizierte Logo konkrete Effekte. Es stärkt die Markenwiedererkennung im entscheidenden Moment des Öffnens, es fügt ein Vertrauenssignal hinzu, das Öffnungsraten stützen kann, und es schafft einen sichtbaren Abstand zu Fälschern: Eine betrügerische, logolose E-Mail neben den echten — die eines tragen — wirkt sofort weniger glaubwürdig. Für die am stärksten imitierten Branchen ist dieser letzte Punkt strategisch: Es ist die für Finanzmarken in DMARC für Banken entwickelte Argumentation, übertragbar auf jede Publikumsmarke.

Es gibt auch ein Governance-Argument: BIMI schon beim Entwurf eines DMARC-Programms anzustreben hilft, die Durchsetzungsarbeit zu rechtfertigen gegenüber Beteiligten, denen die Marke ebenso wichtig ist wie die Sicherheit. Das Logo ist nicht das Ziel, aber es macht das Ziel begehrenswert — und anders als viele Markeninvestitionen ist diese defensiv wie offensiv zugleich, denn dasselbe Logo, das die Wiedererkennung hebt, erhöht auch die Hürde für jeden, der die Marke imitieren will.

Die vollständige Abfolge

Um zum Logo zu gelangen, ist die Reihenfolge unumstößlich:

Alle Versandquellen ausrichten über SPF und DKIM.
Die DMARC-Richtlinie hochfahren auf p=reject (oder mindestens quarantine), unter Beobachtung der Berichte.
Das Logo vorbereiten im Format SVG Tiny PS, quadratisch, über HTTPS gehostet.
Ein VMC beschaffen, wenn Gmail und die großen Postfächer im Visier sind — siehe das VMC-Zertifikat.
Den Eintrag veröffentlichen default._bimi mit l= und a=.

Nichts davon funktioniert ohne Schritt 2: Es ist die DMARC-Durchsetzung, die den Rest freischaltet, das Fundament, das in was ist DMARC in Erinnerung gerufen wird.

Die Logo-Arbeit früh planen

Ein praktischer Hinweis: Die Logo- und Zertifikatsspur kann parallel zur DMARC-Arbeit laufen, und sollte es oft. Ein konformes SVG Tiny PS vorzubereiten und — falls ein VMC nötig ist — die Marke anzumelden oder zu bestätigen, kostet beides Zeit, die nicht auf p=reject warten muss. Teams, die BIMI als nachträglichen Gedanken behandeln, entdecken, dass das Logo nicht durch DMARC monatelang blockiert ist, sondern durch eine nicht eingetragene Marke oder eine nicht konforme Logo-Datei. Diese Stränge früh zu starten bedeutet, dass das Logo kurz nach der Durchsetzung live gehen kann, nicht Monate später. Es ist die häufigste Ursache dafür, dass ein technisch fertiges DMARC-Projekt trotzdem lange ohne sichtbares Logo bleibt — und sie ist vollständig vermeidbar, wenn man die Reihenfolge früh plant. Kurz: Die Technik ist selten der Engpass — die Marke und das Logoformat sind es, und beide lassen sich problemlos vorziehen, sobald das Ziel feststeht.

Die Fehler, die das Logo am Erscheinen hindern

Ein veröffentlichter BIMI-Eintrag garantiert kein sichtbares Logo. Die häufigsten Ursachen eines fehlenden Logos:

Die Domain setzt nicht durch. Mit Abstand die erste Ursache: p=none verbietet jedes Logo. Zu prüfen ist, dass die Richtlinie quarantine oder reject ist.
Die Subdomain-Falle. Läuft der Versand über eine Subdomain, muss auch ihre effektive Richtlinie durchsetzen: Ein sp=none kann die Durchsetzung dort aufheben, wo tatsächlich gesendet wird.
Das SVG ist nicht konform. Ein Logo, das nicht SVG Tiny PS, nicht quadratisch ist oder verbotene Elemente enthält (Skript, externes Bild, nicht vektorisierter Text), wird stillschweigend abgelehnt.
Das Zertifikat fehlt. Die meisten großen Postfächer, Gmail voran, zeigen nichts ohne ein gültiges, per a= referenziertes VMC.
Die DNS-Propagierung. Ein frisch veröffentlichter Eintrag braucht Zeit zur Verbreitung; das Logo erscheint nicht sofort.
Der Client-Cache. Manche Clients speichern das Logo zwischen: Eine Änderung kann empfängerseitig verzögert erscheinen.

Diese Punkte einzeln, in dieser Reihenfolge, zu prüfen löst nahezu jeden Fall von „ich habe BIMI veröffentlicht, sehe aber nichts".

BIMI und Zustellbarkeit: was man erwarten sollte

Eine Verwechslung sei ausgeräumt: BIMI ist an sich kein Zustellbarkeitshebel. Es bringt die E-Mails nicht in den Posteingang — das tun Authentifizierung und Reputation. Was BIMI hinzufügt, ist ein sichtbares Vertrauenssignal, sobald die Nachricht angekommen ist: Markenwiedererkennung, Abgrenzung von Betrug und ein möglicher, indirekter Effekt auf das Engagement der Empfänger, die das Logo erkennen. Es als Zustellbarkeits-Booster darzustellen wäre übertrieben; es als die Vertrauensschicht darzustellen, die eine bereits gut konfigurierte Domain krönt, ist richtig. Es ist ein Ergebnis, keine Abkürzung.

Die Bereitschaft prüfen

Die erste Frage ist nicht „welches Logo?", sondern „setzt die Domain schon durch?". Eine Eingabe in unseren kostenlosen DMARC-Analyzer liefert ein sofortiges Urteil: Steht sie auf p=none, ist BIMI unerreichbar, bis die Durchsetzungsarbeit geleistet ist. Auch die Haltung des eigenen Sektors lässt sich im DMARC-Observatorium vergleichen, um die Marke einzuordnen.

Eine Domain auf p=reject zu bringen und dann BIMI zu planen ist genau der Weg, für den Thomas, der virtuelle CISO, gebaut ist: Er identifiziert jede Versandquelle, generiert das zu veröffentlichende DNS, bewertet die Bereitschaft pro Domain und nennt den Moment, ab dem sich sicher durchsetzen lässt — der Schritt, der das Logo freischaltet. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.