Das VMC-Zertifikat für BIMI: Preis, Voraussetzungen und wie man es bekommt

Die harte Bedingung: eine eingetragene Marke

Das ist die Hürde, die die meisten Organisationen überrascht: Ein VMC verlangt eine eingetragene Marke. Kein jahrelang verwendetes Logo, keine Gestaltungsrichtlinie: eine Bildmarke (oder das Logo selbst), offiziell eingetragen bei einem zuständigen Amt — dem DPMA in Deutschland, dem EUIPO für die Europäische Union, dem USPTO in den USA, je nach Geltungsbereich.

Ist die Marke bereits eingetragen, liegt das Kernstück vor. Ist sie es nicht, steht die Eintragung zuerst an — ein Vorgang mit eigenen Kosten und vor allem eigener Vorlaufzeit: mehrere Monate zwischen Anmeldung und endgültiger Eintragung, in denen das VMC nicht ausstellbar ist. Das ist der am meisten unterschätzte Faktor eines BIMI-Projekts: Das Zertifikat selbst erhält man in Tagen, aber die Marke, die es bedingt, kann Monate dauern.

Die realen Kosten

Zwei Posten sind zu unterscheiden:

• Das VMC-Zertifikat: je nach Stelle in der Größenordnung von 1 000 bis 1 500 € pro Jahr (verlängerbar). Es ist ein Abonnement, kein einmaliger Kauf.
• Die Markeneintragung, falls noch keine vorliegt: Amtsgebühren, die je nach Zahl der Klassen und dem Gebiet variieren, plus eventuell Honorare für gewerblichen Rechtsschutz. Separat und im Voraus zu budgetieren.

Gemessen am Nutzen — ein Markensignal, das in einem mehrheitlichen Anteil der Privatpostfächer angezeigt wird — sind diese Kosten für eine Finanzmarke, einen etablierten Online-Händler oder einen großen Absender bescheiden. Weniger für eine kleine Organisation ohne eingetragene Marke, für die die Alternative ohne Zertifikat abzuwägen ist: BIMI ohne VMC, ist das möglich.

Der Weg zur Beschaffung

Sobald die Marke eingetragen und die Domain in DMARC-Durchsetzung ist, folgt die Beschaffung des VMC klaren Schritten:

1. Das konforme Logo vorbereiten im Format SVG Tiny PS, quadratisch, exakt der eingetragenen Marke entsprechend (das Logo des Zertifikats muss zur eingetragenen Marke passen).
2. Eine autorisierte Stelle wählen (DigiCert, Entrust) und den Antrag stellen, mit Nachweisen der Markeneintragung.
3. Die Validierung bestehen: Die Stelle prüft die Rechte an der Marke und die Identität der Organisation. Eine ernsthafte Prüfung, vergleichbar mit einem Zertifikat mit erweiterter Validierung.
4. Das Zertifikat erhalten (PEM-Datei), über HTTPS hosten.
5. Veröffentlichen des default._bimi-Eintrags mit dem a=-Tag, das auf das VMC zeigt, neben dem l=, das auf das Logo zeigt.

Die vollständige Mechanik des Eintrags und des Logo-Formats ist im Grundlagenartikel beschrieben, sein BIMI-Logo in Gmail anzeigen.

VMC oder CMC?

Ein Wort zu einer zunehmend sichtbaren Alternative: dem CMC (Common Mark Certificate). Wo das VMC eine eingetragene Marke verlangt, richtet sich das CMC an Logos, die keine bekommen können — nicht eingetragene Marken, Logos öffentlicher Stellen, für die klassische Eintragung zu alte Marken. Das CMC ist in der Regel günstiger, aber nicht überall akzeptiert: Insbesondere stützt sich Gmail auf das VMC, während Apple Mail das CMC akzeptiert. Die Wahl hängt also von den anvisierten Postfächern ab. Dieser Kompromiss ist in das Logo ohne Zertifikat zeigen entwickelt.

Wie lange es wirklich dauert

Der Zeitplan eines VMC-Projekts wird von einem oft ignorierten Faktor bestimmt: der Marke. Aufgeschlüsselt:

• Die Markeneintragung (sofern keine vorliegt): mehrere Monate zwischen Anmeldung und endgültiger Eintragung, je nach Amt und etwaigen Widersprüchen. Der längste Posten, bei Weitem.
• Die DMARC-Durchsetzung: einige Wochen bis einige Monate, um die Domain sauber von p=none auf p=reject zu bringen, je nach Größe des Versandparks.
• Das Zertifikat selbst: Sind Marke und Domain bereit, zählt die Ausstellung des VMC in Tagen bis wenigen Wochen, die Zeit der Validierung durch die Stelle.

Die klassische Falle ist, das VMC als Last-Minute-Häkchen zu behandeln und dann zu entdecken, dass zuerst eine Marke einzutragen ist — und zu warten. Ist das verifizierte Logo ein Ziel, gehört die Markenanmeldung früh gestartet, parallel zur DMARC-Arbeit, nicht danach.

Das Logo muss zur eingetragenen Marke passen

Ein Punkt, der Anträge regelmäßig blockiert: Das über BIMI veröffentlichte Logo muss zur Marke passen, wie sie eingetragen ist. Ein Logo eintragen und dann eine deutlich abweichende Variante veröffentlichen geht nicht; die Stelle prüft die Übereinstimmung. In der Praxis heißt das, drei Elemente im Vorfeld abzugleichen: die eingetragene Bildmarke, die vorbereitete SVG-Tiny-PS-Datei, und die tatsächliche Verwendung des Logos. Eine Abweichung — Farben, Proportionen, hinzugefügte Elemente — kann die Validierung scheitern lassen oder die Ausstellung verzögern. Besser, das Logo vor der Markenanmeldung festzuzurren, damit die drei übereinstimmen.

Verlängerung und Lebenszyklus

Das VMC ist kein endgültiger Kauf: Es ist ein zeitlich begrenztes Zertifikat, das periodisch zu verlängern ist (typischerweise jährlich). Bei Ablauf, wenn die Verlängerung nicht erfolgt ist, hören die Anbieter auf, das Logo anzuzeigen — genau wie ein abgelaufenes TLS-Zertifikat das Schloss einer Website bricht. Das VMC gehört also als zu pflegender Aktivposten behandelt, mit einer Verlängerungswarnung, gleichrangig mit den anderen Zertifikaten. Ein Logo, das über Nacht verschwindet, ist fast immer ein vergessenes VMC.

Wer ein VMC ausstellen darf

Die Zahl der zur Ausstellung von VMCs befugten Stellen ist bewusst klein — bis heute im Wesentlichen DigiCert und Entrust. Es ist kein offener Markt wie bei TLS-Zertifikaten: Die Prüfung von Markenrechten erfordert eine vom BIMI-Ökosystem akkreditierte Stelle. Die Wahl zwischen diesen Ausstellern fällt nach Preis, Validierungsprozess und Region; das erhaltene Zertifikat wird dann von jedem Anbieter anerkannt, der ein VMC verlangt. Noch bevor der erste Aussteller kontaktiert wird, gehören die angeforderten Unterlagen gesammelt: Nachweis der Markeneintragung, Beleg der rechtlichen Identität der Organisation und die fertige SVG-Tiny-PS-Datei, die zur Marke passt. Das verwandelt ein wochenlanges Hin und Her in einen kurzen Austausch — das Wirksamste, um den VMC-Zeitplan zu verkürzen, sobald die Marke selbst gesichert ist.

Lohnt es sich?

Für wen ist das VMC eine gute Investition? Typischerweise Organisationen, für die die Marke der Aktivposten ist: Banken und Versicherer, Online-Händler, große Publikumsmarken, stark imitierte Dienste. Für sie schützt das verifizierte Logo die Markenwiedererkennung und vergrößert den Abstand zum Betrug — die natürliche Verlängerung der Argumentation in Bankwesen im Detail. Für eine kleine Organisation ohne Publikumsmarke und ohne eingetragene Marke dagegen mag die ehrliche Antwort „noch nicht" lauten: Kosten und Markenerfordernis überwiegen ein Logo, das kaum ein Empfänger bemerken würde.

Aber die Reihenfolge zählt: Das VMC nützt nichts, solange die Domain nicht durchsetzt. Vor dem Budgetieren eines Zertifikats muss der Schritt stehen, der alles freischaltet, beschrieben in Etappe für Etappe zum Ziel.

BIMI im Markenbudget verankern

Weil das VMC ein wiederkehrender Posten mit Markenerfordernis ist, gehört es weniger ins IT-Sicherheitsbudget als ins Markenbudget — und das ändert, wer die Entscheidung trägt. Ein VMC schützt einen Markenwert (das Logo) und verlängert die Anti-Fälschungs-Logik von DMARC bis in den Posteingang; seine Kosten neben denen einer Kampagne oder einer Markeneintragung zu betrachten, macht sie verhältnismäßig. Praktisch heißt das, früh die richtigen Beteiligten an einen Tisch zu bringen: Sicherheit für die DMARC-Durchsetzung, Recht für die Marke, Marketing für Logo und Budget. Ein VMC-Projekt scheitert selten an der Technik — es scheitert daran, dass niemand es besitzt, weil es zwischen den Abteilungen fällt. Diese Verantwortung früh zu klären ist oft der Unterschied zwischen einem Logo, das erscheint, und einem Projekt, das versandet.

Zuerst das DMARC-Fundament prüfen

Es lohnt nicht, Zertifikatskosten einzugehen, wenn die Domain nicht bereit ist. Ein Durchlauf durch unseren kostenlosen DMARC-Analyzer klärt das: Steht sie nicht auf p=quarantine oder p=reject, erscheint kein Logo, VMC hin oder her. Das DMARC-Observatorium ordnet die Marke zusätzlich ein.

Eine Domain zur Durchsetzung zu bringen und dann den Boden für BIMI und das VMC zu bereiten, ist genau das, was Thomas, der virtuelle CISO, orchestriert: Er führt bis p=reject, ohne die Post zu brechen — der Schritt, ohne den das Zertifikat totes Gewicht bliebe. Eine Domain kostenlos analysieren · das Observatorium erkunden · mit Thomas beginnen.