BIMI: Ihr Firmenlogo im Posteingang der Empfänger

BIMI steht für Brand Indicators for Message Identification. Dahinter steckt eine einfache Idee: Wer seine Domäne sauber gegen Fälschung absichert, darf sein Logo neben jeder echten Mail zeigen. Empfänger erkennen echte Post damit auf einen Blick, und eine Fälschung fällt eher auf, weil das Logo fehlt.

Voraussetzung ist ein durchgesetztes DMARC

BIMI wirkt nur, wenn DMARC für die Domäne etwas verlangt. Mit p=none zeigt kein Postfach ein Logo.

• Die Richtlinie steht auf p=quarantine oder p=reject.
• Sie gilt für alle Mails, also pct=100 oder ganz ohne pct.
• Subdomänen sind nicht mit sp=none ausgenommen.

Damit ist BIMI die sichtbare Belohnung am Ende des Wegs zu p=reject. Wie dieser Weg ohne Mailverlust gelingt, beschreibt der Beitrag DMARC p=none schützt nicht.

Das Logo

Das Logo wird als SVG in einem eigenen Profil erwartet, SVG Tiny Portable/Secure. Die wichtigsten Regeln:

• quadratisch, am besten mit Rand, weil viele Postfächer das Logo rund zuschneiden,
• version="1.2" und baseProfile="tiny-ps" im svg-Element,
• ein title-Element mit dem Namen der Marke,
• keine Skripte, keine eingebetteten Rasterbilder, keine Verweise auf andere Dateien,
• höchstens 32 KB.

Die meisten Grafikprogramme exportieren nicht direkt in dieses Profil. Eine kurze Nacharbeit durch die Agentur oder die eigene Grafik reicht in der Regel.

Markenzertifikat: VMC oder CMC

Große Postfächer zeigen das Logo nur, wenn ein Markenzertifikat belegt, dass es Ihnen gehört. Sie beantragen es selbst bei einer Zertifizierungsstelle, etwa DigiCert oder GlobalSign. Die Zertifizierungsstelle berechnet dafür eine Jahresgebühr, und das Zertifikat wird jährlich erneuert.

• VMC, Verified Mark Certificate: setzt eine eingetragene Marke voraus. Gmail zeigt dann zusätzlich ein Häkchen, Apple Mail verlangt ein VMC.
• CMC, Common Mark Certificate: kommt ohne eingetragene Marke aus, wenn das Logo nachweislich seit längerer Zeit öffentlich genutzt wird. Gmail zeigt das Logo dann ohne Häkchen.

Ohne Zertifikat zeigen nur einzelne Postfächer das Logo, etwa Yahoo.

Der DNS-Eintrag

Das Logo wird über einen TXT-Eintrag an default._bimi Ihrer Domäne veröffentlicht. Er nennt die Adresse des Logos und, falls vorhanden, die des Zertifikats:

default._bimi.ihre-firma.de  TXT  "v=BIMI1; l=https://…/logo.svg; a=https://…/cert.pem"

Beide Dateien müssen dauerhaft unter einer HTTPS-Adresse erreichbar sein.

So geht es mit Conbool DMARC Manager

DMARC Manager führt Ihre Domäne in Stufen bis p=reject und übernimmt danach auch BIMI:

1. Im DNS-Bereich der Domäne laden Sie das Logo hoch, auf Wunsch mit Zertifikat.
2. Conbool prüft beides sofort und nennt jeden Mangel einzeln, etwa ein nicht quadratisches Format oder ein Zertifikat für eine andere Domäne.
3. Conbool hostet Ihr Logo und Ihr Zertifikat und zeigt den fertigen DNS-Eintrag zum Kopieren.
4. Die Karte zeigt, ob der Eintrag gesetzt ist und ob DMARC streng genug ist, damit das Logo erscheint.
5. Vor dem Ablauf des Zertifikats warnt Conbool rechtzeitig.

Ein neues Logo oder ein erneuertes Zertifikat laden Sie einfach erneut hoch. Der DNS-Eintrag bleibt dabei gleich. Prüfung, Hosting und Ablaufwarnung sind im Preis je Domäne enthalten, das Markenzertifikat beziehen Sie von der Zertifizierungsstelle.

Fazit

BIMI macht sichtbar, was DMARC im Hintergrund leistet. Der Aufwand liegt vor allem im Weg zu p=quarantine oder p=reject und im Markenzertifikat. Ist beides geschafft, steht Ihr Logo neben jeder echten Mail Ihrer Domäne.

Mehr dazu in der Dokumentation zu DMARC Manager oder direkt auf der Produktseite.