BIMI – euer Logo im Postfach der Empfänger

BIMI bringt euer Logo in die Absenderzeile im Postfach. Wir zeigen den Eintrag, die Anforderungen an Logo und Markenzertifikat und jeden Befund im Einzelnen.

Im Posteingang sieht man zuerst zwei Dinge: den Absendernamen und, daneben, einen runden Platzhalter mit einem Buchstaben darin. BIMI ersetzt diesen Platzhalter durch euer Logo. Das ist kein Schmuck – es ist ein sichtbares Zeichen dafür, dass eine Nachricht die Prüfungen bestanden hat. Wer euer Logo sieht, hat eine echte Nachricht von euch vor sich; wer den grauen Kreis sieht, hat es im Zweifel nicht.

Genau deshalb ist BIMI kein Einstieg, sondern ein Abschluss. Es funktioniert erst, wenn SPF, DKIM und vor allem DMARC sauber stehen und DMARC im Durchgriff wirkt. Ein BIMI-Eintrag auf einer Domain mit p=none ist eine Zeile im DNS, die nichts bewirkt. Das ist der mit Abstand häufigste Befund auf dieser Seite.

Wie der Eintrag aussieht

BIMI steht unter einer festen Unteradresse mit einem Selektor davor – fast immer default:

default._bimi.beispiel-gmbh.de.   TXT   "v=BIMI1; l=https://beispiel-gmbh.de/bimi/logo.svg; a=https://beispiel-gmbh.de/bimi/zertifikat.pem"

Beide Dateien liegen auf eurem eigenen Webserver – dort, wo auch die Website liegt. Postfach-Anbieter holen sie sich von dort ab, wenn eine eurer Nachrichten eintrifft.

Das Logo: ein eigenes Format, nicht irgendein SVG

Hier scheitern die meisten Einrichtungen. Verlangt wird nicht einfach „ein SVG", sondern SVG Tiny 1.2 Portable/Secure, ein bewusst stark eingeschränktes Profil. Ein SVG, das ein Grafikprogramm ausgibt, erfüllt es praktisch nie.

In der Praxis heißt das: Das Logo wird für BIMI neu gebaut, meist als stark vereinfachte Bildmarke ohne Schriftzug. Wer das Firmenlogo eins zu eins exportiert, bekommt den Befund „falsches Format" – und niemand sieht etwas.

Das Markenzertifikat

Damit ein Postfach-Anbieter glaubt, dass das Logo wirklich eures ist, will er einen Nachweis. Dieser Nachweis ist ein VMC (Verified Mark Certificate) oder ein CMC (Common Mark Certificate) – eine Datei, die von einer anerkannten Stelle ausgestellt wird und das geprüfte Logo selbst enthält.

Für ein VMC braucht ihr eine eingetragene Marke beim DPMA, beim EUIPO oder einem anderen anerkannten Register. Der Firmenname allein reicht nicht, ein Handelsregistereintrag auch nicht. Die Prüfung dauert Wochen, und das Zertifikat kostet deutlich mehr als ein gewöhnliches TLS-Zertifikat; die Aussteller nennen die Preise auf Anfrage. Ein CMC verlangt keine eingetragene Marke, wird aber nicht überall anerkannt.

So richtest du es ein

BIMI berührt drei Orte: das DNS deiner Domain, deinen Webserver und den Aussteller des Zertifikats.

Der Weg, wenn die Marke eingetragen ist und DMARC steht:

1. Das Logo als quadratisches SVG im Profil Tiny 1.2 P/S erstellen lassen – mit <title>, ohne Skripte, ohne externe Verweise, mit fester Hintergrundfarbe.
2. Es auf den eigenen Webserver legen, etwa unter https://deine-domain.de/bimi/logo.svg, und im Browser aufrufen, um zu sehen, dass es wirklich ausgeliefert wird.
3. Bei einem Aussteller ein VMC beantragen und dabei Marke, Logo und Domain nachweisen. Das Logo im Zertifikat muss exakt das aus Schritt 1 sein.
4. Die gelieferte PEM-Datei unverändert danebenlegen, etwa unter https://deine-domain.de/bimi/zertifikat.pem.
5. Bei IONOS unter Domains & SSL → DNS einen TXT-Eintrag anlegen, Hostname default._bimi, Wert v=BIMI1; l=…; a=….
6. Speichern, eine Stunde warten, dann die Domain im Mail-Check prüfen.
7. Eine Testnachricht an ein Gmail-Konto schicken. Das Logo erscheint nicht sofort – Gmail braucht Zeit und eine gewisse Menge normaler Post aus eurer Domain.

Die Befunde im Einzelnen

Mehrere BIMI-Einträge

Gemessen: Unter default._bimi stehen zwei oder mehr Einträge mit v=BIMI1.

Erlaubt ist einer. Bei mehreren zeigt kein Anbieter ein Logo an – der Aufwand ist umsonst, und von außen sieht alles richtig aus.

Was zu tun ist: Entscheiden, welcher Eintrag stimmt, und den anderen löschen. Meist ist einer ein Rest aus einem ersten Versuch mit einer alten Logo-Adresse.

BIMI ohne DMARC im Durchgriff

Gemessen: Der BIMI-Eintrag ist da, aber DMARC steht auf p=none – oder auf quarantine/reject mit einem pct unter 100.

BIMI setzt voraus, dass eure Anweisung tatsächlich wirkt und auf alle Nachrichten angewendet wird. Ist das nicht erfüllt, bleibt das Logo unsichtbar, so richtig der BIMI-Eintrag sonst auch ist.

Was zu tun ist: Erst DMARC in Ordnung bringen, dann wirkt BIMI von selbst. Der Weg dorthin steht auf der DMARC-Seite: Berichte einschalten, alle eigenen Versandwege absichern, dann auf quarantine und reject verschärfen und pct entfernen.

BIMI ohne Logo-Adresse

Gemessen: Im Eintrag fehlt das Feld l=.

Ohne Adresse weiß kein Postfach-Anbieter, welches Bild er holen soll. Der Eintrag ist dann eine Absichtserklärung ohne Inhalt.

Was zu tun ist: l=https://deine-domain.de/pfad/logo.svg ergänzen. Die Adresse muss mit https:// beginnen; http:// wird nicht akzeptiert.

BIMI-Logo nicht abrufbar

Gemessen: Die Datei unter l= ließ sich nicht laden.

Postfach-Anbieter holen sie genauso ab wie wir – und zeigen dann nichts an. Typische Ursachen: ein Tippfehler im Pfad, eine Weiterleitung von www auf die Hauptdomain, ein abgelaufenes TLS-Zertifikat oder eine Firewall, die fremde Abrufe blockt.

Was zu tun ist: Die Adresse aus dem Eintrag kopieren und in einem Browserfenster ohne Anmeldung öffnen. Was du dort siehst, sieht der Postfach-Anbieter auch. Prüf dabei auch, ob das TLS-Zertifikat der Website gültig ist.

BIMI-Logo im falschen Format

Gemessen: Die Datei ist abrufbar, erfüllt aber das geforderte Profil nicht.

Verlangt ist SVG Tiny 1.2 Portable/Secure: quadratisch, mit Titel, ohne Skripte, Animationen und nachgeladene Inhalte. Ein gewöhnliches SVG aus dem Grafikprogramm erfüllt das nicht – es enthält fast immer Metadaten des Programms, eine <style>-Angabe oder ein nicht quadratisches viewBox.

Was zu tun ist: Das Logo in das geforderte Profil überführen. Praktischer Weg: eine neue, leere Datei anlegen, nur viewBox mit gleichen Werten für Breite und Höhe, einen <title>, die Pfade und feste Farbwerte hineinsetzen – und alles andere weglassen. Danach neu hochladen und erneut prüfen.

BIMI ohne Markenzertifikat

Gemessen: Im Eintrag fehlt das Feld a=.

Ohne geprüftes Markenzertifikat zeigen Gmail und Apple Mail das Logo nicht an. Der Eintrag ist damit weitgehend wirkungslos – einige kleinere Anbieter zeigen zwar auch ohne, aber das sind selten die Empfänger, auf die es euch ankommt.

Was zu tun ist: Entweder ein VMC beschaffen (setzt eine eingetragene Marke voraus, Vorlauf mehrere Wochen) oder bewusst entscheiden, den Eintrag als Vorbereitung stehen zu lassen. Beides ist vertretbar – nur sollte niemand im Haus glauben, das Logo erscheine demnächst von selbst.

Markenzertifikat nicht abrufbar

Gemessen: Die Datei unter a= ließ sich nicht laden.

Dieselben Ursachen wie beim Logo: falscher Pfad, Weiterleitung, Zertifikatsproblem, Zugriffsschutz. Manche Server liefern .pem auch gar nicht erst aus, weil der Dateityp unbekannt ist.

Was zu tun ist: Adresse im Browser öffnen. Kommt ein Fehler, den Webserver so einstellen, dass er .pem-Dateien als reinen Text ausliefert. Ein Download-Dialog ist kein Problem, eine Fehlermeldung schon.

Datei ist kein Zertifikat

Gemessen: Unter der Adresse liegt etwas anderes als eine PEM-Datei mit Zertifikat.

Häufig eine HTML-Fehlerseite, die der Server statt der Datei ausliefert – von außen mit dem Statuscode 200, inhaltlich aber wertlos. Manchmal auch eine ZIP-Datei oder ein Schlüssel statt des Zertifikats.

Was zu tun ist: Die vom Aussteller gelieferte PEM-Datei hinterlegen, unverändert und einzeln. Sie beginnt mit der Zeile -----BEGIN CERTIFICATE-----. Steht dort etwas anderes, ist es die falsche Datei.

Markenzertifikat nicht lesbar

Gemessen: Die Datei enthält ein Zertifikat, das sich nicht auswerten lässt.

Meist ein Transportschaden: Die Datei wurde in einem Texteditor geöffnet und mit anderen Zeilenenden gespeichert, oder beim Kopieren ist ein Zeichen verloren gegangen.

Was zu tun ist: Die Datei erneut beim Aussteller herunterladen und ohne Umweg über einen Editor auf den Server legen. Enthält die Lieferung mehrere Zertifikate (eures und die der Kette), gehören sie in der vom Aussteller vorgegebenen Reihenfolge in eine Datei.

Markenzertifikat abgelaufen

Gemessen: Die Gültigkeit des Zertifikats ist überschritten.

Ein abgelaufenes Zertifikat wird nicht anerkannt. Das Logo verschwindet aus dem Postfach, und niemand im Haus bekommt eine Meldung darüber – auffallen wird es jemandem, der es zufällig sieht.

Was zu tun ist: Zertifikat beim Aussteller erneuern und die neue Datei an derselben Adresse hinterlegen. Danach die Domain erneut prüfen, um sicherzugehen, dass wirklich die neue Datei ausgeliefert wird.

Markenzertifikat läuft bald ab

Gemessen: Die Gültigkeit endet in weniger als 30 Tagen.

Danach verschwindet das Logo. Weil die Erneuerung eine erneute Prüfung durch den Aussteller einschließt, ist ein Monat knapper, als er klingt.

Was zu tun ist: Die Erneuerung jetzt anstoßen, nicht in drei Wochen. Und die Frist dorthin eintragen, wo auch die Erneuerung der TLS-Zertifikate steht – das ist die Stelle, an der sie jemand sieht.

Zertifikat ohne Markenlogo-Erweiterung

Gemessen: Die Datei ist ein gültiges Zertifikat, aber kein Markenzertifikat – ihr fehlt die Erweiterung, in der das geprüfte Logo steckt.

Fast immer ist versehentlich das TLS-Zertifikat der Website hinterlegt worden. Das ist technisch ein Zertifikat, hat mit BIMI aber nichts zu tun.

Was zu tun ist: Ein echtes VMC oder CMC hinterlegen. Wenn keines vorliegt, das Feld a= lieber ganz weglassen als falsch füllen – ein falsches Zertifikat wirkt bei Empfängern schlechter als gar keines.

Häufige Fragen

Brauchen wir BIMI?

Nötig ist es nicht. Interessant wird es für Absender, deren Name häufig gefälscht wird oder deren Post im Posteingang sofort erkennbar sein soll – Banken, Versicherungen, Versandhandel, Vereine mit Beitragsrechnungen. Für eine Handwerksfirma mit zwanzig Nachrichten am Tag steht der Aufwand meist nicht dafür.

Wie lange dauert es, bis das Logo erscheint?

Nachdem alles steht, Tage bis Wochen. Die Postfach-Anbieter holen den Eintrag nicht bei jeder Nachricht neu, und Gmail zeigt das Logo erst, wenn aus der Domain regelmäßig einwandfreie Post kommt. Geduld ist hier Teil des Verfahrens.

Können wir das Logo später ändern?

Ja, aber nicht allein. Das Logo steckt auch im Zertifikat – ein neues Logo bedeutet ein neues Zertifikat. Ein Rebranding sollte man deshalb nicht am Tag vor der Kampagne einspielen.

Warum sehen wir das Logo, unsere Kunden aber nicht?

Weil nicht jeder Anbieter BIMI anzeigt und weil manche es nur mit Markenzertifikat tun. Prüf mit Konten bei verschiedenen Anbietern, bevor ihr von einem Fehler ausgeht – und sieh im Mail-Check nach, ob Logo und Zertifikat von außen wirklich abrufbar sind.