BIMI ohne VMC: ist das möglich (und ist es eine gute Idee)?

Von Thomas · virtueller CISO · 13. August 2026

Es ist eine der häufigsten Fragen, sobald man Kosten und Bedingungen eines Markenzertifikats entdeckt: Kann man BIMI ohne VMC machen? Die ehrliche Antwort lautet „ja, technisch, aber" — und alles steckt im „aber". Einen BIMI-Eintrag ohne Zertifikat zu veröffentlichen ist völlig möglich; was sich ändert, ist, was tatsächlich erscheint und in welchen Postfächern. Dieser Artikel entwirrt, was ohne VMC herauskommt, die CMC-Alternative und die Fälle, in denen der Verzicht auf das Zertifikat Sinn ergibt.

Ja, technisch: ein Eintrag mit nur dem Logo

Der BIMI-Standard erlaubt einen minimalen DNS-Eintrag ohne das a=-Tag des Zertifikats:

v=BIMI1; l=https://beispiel.de/logo.svg;

Hier wird nur das Logo deklariert (l=), ohne kryptografischen Eigentumsnachweis. Der Standard erlaubt es — das a=-Tag ist auf Spezifikationsebene optional. Nichts hindert daran, einen solchen Eintrag zu veröffentlichen, sobald die Domain in DMARC-Durchsetzung ist (diese Voraussetzung bleibt bestehen).

Das Problem liegt nicht in der Spezifikation: Es liegt darin, was jeder Anbieter zu verlangen beschließt, bevor er das Logo anzeigt.

Aber die großen Postfächer verlangen ein Zertifikat

Hier bekommt das „aber" sein volles Gewicht. Die Anbieter, die in einer Privatempfänger-Basis am schwersten wiegen — Gmail voran — verlangen ein Zertifikat, um das Logo anzuzeigen. Ohne ein gültiges a= ignoriert Gmail das Logo schlicht, selbst wenn die Domain auf der DMARC-Seite makellos und das SVG perfekt konform ist.

Der Grund ist mit der ganzen Philosophie des Ökosystems kohärent: Ein unverifiziertes Logo anzuzeigen würde eine Tür zum Betrug wieder öffnen. Eine korrekt konfigurierte Domain, die einem Fälscher gehört, könnte das Logo einer bekannten Marke veröffentlichen; das Zertifikat ist genau das, was bescheinigt, dass das Logo dem Absender gehört. Gmail weigert sich daher, einem l= allein zu vertrauen. Rolle und Kosten dieses Zertifikats sind in dem VMC-Zertifikat für BIMI beschrieben.

Was ohne Zertifikat wirklich erscheint

In der Praxis liefert ein BIMI-Eintrag ohne Zertifikat ein sehr ungleiches Ergebnis: Einige kleinere, historisch großzügigere Postfächer zeigen das Logo womöglich aus dem l= allein; die mehrheitlichen Postfächer aber nicht. Anders gesagt fließt die Investition in die Vorbereitung (DMARC-Durchsetzung, konformes Logo, Hosting), ohne den Großteil des Nutzens zu erfassen — die Sichtbarkeit in Gmail und den großen Postfächern.

Diese Abdeckung entwickelt sich und hängt von den Richtlinien jedes Anbieters ab, aber die Grundregel ist stabil: Je größer und betrugsexponierter ein Postfach, desto mehr Nachweis verlangt es. Das ist logisch, und man sollte nicht auf eine Lockerung hoffen.

Das CMC: das Zertifikat für Logos ohne eingetragene Marke

Zwischen „nichts" und „VMC" gibt es einen Mittelweg: das CMC (Common Mark Certificate). Es richtet sich genau an Organisationen, die kein VMC erhalten können, weil sie keine eingetragene Marke haben — Logos öffentlicher Stellen, langjährige Gebrauchsmarken, Strukturen, die nie angemeldet haben.

Das CMC bescheinigt Verwendung und Identität, ohne auf einer Markeneintragung zu ruhen, was es Organisationen zugänglich macht, die vom VMC ausgeschlossen sind. Im Gegenzug ist es nicht von allen Anbietern akzeptiert: Bis heute erkennt es Apple Mail an, aber Gmail stützt sich auf das VMC. Das CMC ist also eine echte Option, wenn die Priorität auf dem Apple-Ökosystem liegt oder ein VMC strukturell unerreichbar ist — aber es schaltet Gmail nicht frei. Die Wahl zwischen beiden richtet sich nach den anvisierten Postfächern, ein Abwägen, das auch im Artikel VMC-Zertifikat behandelt wird.

Anforderungen der Anbieter im Überblick

Um zu entscheiden, ob ein Zertifikat nötig ist, muss man wissen, was jedes Postfach verlangt — die allgemeine Regel lautet „je größer das Postfach, desto mehr Nachweis":

Gmail: verlangt ein VMC. Ohne es kein Logo, Punkt. Es ist das Postfach, das die Investition allein am häufigsten rechtfertigt.
Apple Mail (neuere Versionen): akzeptiert ein VMC oder ein CMC. Die wichtigste Eintrittspforte für Organisationen ohne eingetragene Marke.
Yahoo Mail: verlangt ein Zertifikat (VMC).
Kleinere Postfächer: einige zeigen das Logo aus dem l= allein, ohne Zertifikat — aber ihr Gewicht in einer Privatbasis ist marginal.

Die praktische Folge: Gmail anzuvisieren erzwingt ein VMC; nur Apple anzuvisieren öffnet den CMC-Weg; sich mit großzügigen Postfächern zu begnügen verringert die Reichweite stark.

VMC oder CMC: wie man entscheidet

Die Wahl läuft auf zwei Fragen hinaus. Gibt es eine eingetragene Marke? Wenn ja, ist das VMC der vollständige Weg, der Gmail und den Rest abdeckt. Wenn nicht, ist es unerreichbar, ohne zuerst eine Marke einzutragen (mehrere Monate). Welche Postfächer stehen im Visier? Ist Gmail für das Publikum unverzichtbar, gibt es keine Alternative zum VMC. Liegt das Publikum überwiegend bei Apple, oder soll ein Logo „wo möglich" ohne Kosten und Verzögerung einer Markenanmeldung erscheinen, wird das CMC eine ernsthafte Option. Viele Organisationen zielen letztlich auf das VMC, starten aber bescheidener — mit offenen Augen dafür, was jede Stufe freischaltet.

Ein stufenweiser Ansatz

Für viele Organisationen ist BIMI keine einzelne Entscheidung, sondern ein Fortschritt. Eine sinnvolle Staffelung: zuerst die DMARC-Durchsetzung erreichen (die nicht verhandelbare Basis) und einen Eintrag nur mit l= veröffentlichen, um die DNS- und Logo-Kette zu validieren; dann, falls Apple im Visier steht und keine eingetragene Marke vorliegt, ein CMC hinzufügen, um dieses Ökosystem zu erhellen; schließlich, falls Gmail für das Publikum zählt, in Marke und VMC für volle Abdeckung investieren. Jeder Schritt ist umkehrbar und baut auf dem vorigen auf, sodass kein blockiertes Warten entsteht, bis das teuerste Teil bereit ist, bevor sich irgendein Wert erfassen lässt. Der Fehler ist, es als Alles-oder-nichts zu behandeln — BIMI ganz zu überspringen oder Monate auf ein VMC zu warten. Die Messung bleibt auf jeder Stufe ehrlich, wenn sie verfolgt, was Empfänger tatsächlich sehen, Postfach für Postfach.

„Veröffentlicht" ist nicht „angezeigt"

Der häufigste Denkfehler rund um BIMI: zu glauben, einen Eintrag zu veröffentlichen genüge. Einen BIMI-Eintrag zu veröffentlichen ist trivial; das Logo zur Anzeige zu bringen ist die eigentliche Arbeit, und sie hängt ganz von der Konformität ab (DMARC-Durchsetzung, korrekt formatiertes Logo, vom anvisierten Postfach akzeptiertes Zertifikat). Ein Eintrag ohne Zertifikat, für ein Gmail-Publikum, ist ein Eintrag, der kein sichtbares Logo erzeugt — technisch gültig, praktisch wirkungslos. BIMIs Erfolg zu messen heißt, das anzusehen, was die Empfänger tatsächlich sehen, nicht das, was die DNS-Zone enthält.

Die verborgenen Kosten des Nichtstuns

Ein Punkt wird beim Abwägen der VMC-Kosten vergessen: Das Fehlen eines Logos ist nicht neutral. Wo Wettbewerber ihres anzeigen, wirkt die graue Kachel oder generische Initiale im Kontrast weniger etabliert — und vor allem bietet sie keinen visuellen Schutz gegen Imitation. Eine betrügerische E-Mail im Namen der Marke sticht in einem Postfach ohne Logo nicht hervor; in einem Postfach, in dem das Logo üblicherweise präsent ist, wird sein Fehlen zum Warnsignal für den aufmerksamen Empfänger. Auf das Zertifikat zu verzichten heißt also, zugleich auf einen Markenwert und einen Anti-Betrugs-Hinweis zu verzichten. Nicht zwangsläufig die falsche Wahl — für eine kleine Struktur ohne eingetragene Marke kann die Rechnung fürs Warten sprechen — aber die Entscheidung gehört bewusst getroffen, Kosten gegen Nutzen, statt standardmäßig.

Die Tendenz belohnt kein Abwarten

Soll man warten, bis die Anbieter ihre Anforderungen lockern? Nichts deutet darauf hin. Die Richtung des Ökosystems geht zu mehr Nachweis, nicht weniger: Die Domain-Authentifizierung ist zur Voraussetzung für Massenversand geworden, und die Logo-Verifizierung folgt derselben Anti-Betrugs-Logik. Auf ein Gmail zu wetten, das eines Tages das l= allein akzeptierte, wäre unklug. Ist das verifizierte Logo eines der Ziele, empfiehlt sich der Weg — Marke, Durchsetzung, Zertifikat — statt des Wartens auf eine Nachgiebigkeit, die keinen Grund zu kommen hat.

Wann ohne VMC zu veröffentlichen Sinn ergibt

(Vorübergehend) auf das Zertifikat zu verzichten ist in mehreren Fällen nicht abwegig:

In der Vorbereitung: das l= allein zu veröffentlichen, während der Marken- oder Zertifikatsantrag läuft, erlaubt, die technische Kette (DNS, Logo-Format) zu validieren, ohne zu warten.
Ohne eintragbare Marke: ist kein VMC erhältlich und liegt das Ziel nicht bei Gmail, kann ein l= allein oder ein CMC genügen, um das Logo dort anzuzeigen, wo es möglich ist.
Zum Testen: zu prüfen, dass das Logo in den großzügigen Postfächern korrekt erscheint, bevor die Kosten des Zertifikats anfallen.

In all diesen Fällen ist entscheidend, sich nicht über das Ergebnis zu täuschen: Ohne VMC bleibt das Logo für die Mehrheit der Gmail-Empfänger unsichtbar. Der l=-Eintrag ist dann eine Vorbereitung, kein Ergebnis — nützlich, um bereit zu sein, sobald das Zertifikat kommt, aber allein kein Ersatz dafür.

Die eigentliche Voraussetzung bleibt DMARC

Ein Hinweis, der für all diese Varianten gilt: Nichts erscheint, VMC hin oder her, solange die Domain nicht in DMARC-Durchsetzung ist. Die Zertifikatsfrage stellt sich erst nach dem Erreichen von p=quarantine oder p=reject. Eine Domain auf p=none zeigt kein Logo, mit oder ohne Zertifikat — das Fundament wird in p=reject erreichen, ohne die E-Mails zu brechen und sein BIMI-Logo anzeigen in Erinnerung gerufen.

Empfehlung

Ist die Marke publikumsorientiert und bereits eingetragen, führt der Weg zum VMC: Es ist der einzige Weg zu Gmail, und der Nutzen rechtfertigt die Kosten, besonders für imitierte Branchen wie die Finanzbranche. Fehlt eine eingetragene Marke, verdient das CMC für das Apple-Ökosystem eine Prüfung, oder vorerst ein l= allein — im Bewusstsein, dass der Großteil des Gmail-Publikums ohne VMC unerreichbar bleibt.

Und vor allem gehört das Fundament geprüft: Eine Eingabe der Domain in unsere kostenlose DMARC-Analyse bestätigt, ob sie durchsetzt, und das DMARC-Observatorium ordnet die Haltung ein. Eine Domain auf p=reject zu bringen — der Schritt, der alles andere bedingt — ist genau das, was Thomas, der virtuelle CISO, übernimmt. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.