In manchen Postfächern steht neben dem Absendernamen ein rundes Firmenlogo statt des grauen Kreises mit dem Anfangsbuchstaben. Das ist BIMI — Brand Indicators for Message Identification. Es sieht nach einer Kleinigkeit im Erscheinungsbild aus, und in gewisser Weise ist es das auch. Interessant ist nicht das Logo, sondern die Kette an Voraussetzungen, die davorliegt.
Was BIMI technisch ist
Ein DNS-Eintrag, mehr nicht. Er verweist auf eine Bilddatei und optional auf ein Zertifikat:
default._bimi.firma.de. TXT "v=BIMI1; l=https://firma.de/logo.svg; a=https://firma.de/vmc.pem"Das l= nennt das Logo, das a= das Zertifikat, das bestätigt, dass Sie das Logo führen dürfen. Der empfangende Anbieter holt beides und zeigt das Bild — wenn alles davor stimmt. Und davor steht einiges.
Stufe 1 ist die eigentliche Hürde
BIMI verlangt eine durchgesetzte DMARC-Richtlinie: p=quarantine oder p=reject, und zwar für den gesamten Verkehr, also pct=100. Ein p=none genügt nicht, auch nicht „vorübergehend".
Das ist der Punkt, an dem die meisten Vorhaben stehen bleiben, und es ist der Grund, weshalb BIMI in Wahrheit kein Gestaltungsprojekt ist. Wer bei p=none steht, hat in aller Regel noch sendende Quellen ohne Ausrichtung im Bestand — den Newsletter-Dienst, das Ticketsystem, die Rechnungssoftware. Die alle einzurichten ist die Arbeit. Das Logo ist danach eine Stunde.
Stufe 2 und 3: das Logo ist wählerisch
Ein beliebiges SVG genügt nicht. Verlangt wird ein eng gefasstes Profil, SVG Portable/Secure, das auf SVG Tiny 1.2 aufsetzt. Was dort fehlen muss:
- keine Skripte, keine Animationen, keine externen Verweise,
- keine eingebetteten Rasterbilder,
- ein
title-Element mit dem Markennamen ist Pflicht, - ein
viewBoxmit quadratischem Seitenverhältnis, weil die Anzeige das Bild in einen Kreis oder ein Quadrat setzt.
Der letzte Punkt kostet in der Praxis die meiste Zeit. Ein Wortmarken-Logo im Verhältnis 4:1 wird in einem Kreis zu einem unlesbaren Strich. Für BIMI braucht es fast immer eine eigens gebaute quadratische Fassung — üblicherweise das Bildzeichen ohne den Schriftzug.
Stufe 5: das Zertifikat und sein Preis
Damit Gmail und Apple Mail das Logo anzeigen, reicht der DNS-Eintrag nicht. Verlangt wird ein Verified Mark Certificate, ausgestellt von einer der wenigen dafür zugelassenen Stellen. Es bestätigt, dass die Marke Ihnen gehört.
Voraussetzung dafür ist eine eingetragene Marke bei einem anerkannten Markenamt, und das Logo im Zertifikat muss mit dem eingetragenen Zeichen übereinstimmen. Wer kein Markenrecht hat, kommt an dieser Stufe nicht vorbei — und eine Markenanmeldung dauert je nach Amt viele Monate.
Die Kosten liegen bei mehreren hundert bis über tausend Euro im Jahr für das Zertifikat, die Markenanmeldung nicht eingerechnet. Für ein Bildchen im Posteingang ist das viel. Für eine Organisation, die ohnehin eine eingetragene Marke pflegt und DMARC durchgesetzt hat, ist es ein überschaubarer Zusatzposten.
Wer es überhaupt anzeigt
| Anbieter | Zertifikat nötig |
|---|---|
| Gmail | ja |
| Apple Mail | ja |
| Yahoo | ja |
| Fastmail | nein, DMARC-Durchsetzung genügt |
| Die meisten Programme auf dem Rechner | zeigen es gar nicht |
Die letzte Zeile relativiert die Rechnung. Ein Empfänger, der Thunderbird oder Outlook auf dem Rechner benutzt, sieht von der ganzen Übung nichts.
Was BIMI nicht ist
Es ist kein Sicherheitsmerkmal für den Leser. Das Logo bedeutet: diese Nachricht hat DMARC bestanden und der Absender hat für ein Zertifikat bezahlt. Es bedeutet nicht, dass der Inhalt harmlos ist. Eine übernommene Domain sendet weiterhin mit gültigem DMARC — und damit weiterhin mit Logo.
Der zweite, unangenehmere Punkt: Leser lernen visuelle Regeln schnell. Wer sich angewöhnt, „Logo heißt echt" zu denken, hat sich ein Merkmal antrainiert, das ein Angreifer mit einer eigenen, ähnlich klingenden Domain samt eigener Marke ebenfalls erfüllen kann. Die Merkmale, an denen sich eine gefälschte Nachricht tatsächlich erkennen lässt, sind andere — und keines davon ist ein Bild.
Lohnt es sich?
Als Ziel: selten. Als Nebenprodukt: durchaus. Wer DMARC ohnehin bis zur Durchsetzung bringt — und das sollte jede Domain, unter der Rechnungen verschickt werden — bekommt BIMI für den Preis eines Zertifikats obendrauf. Umgekehrt ist BIMI ein teurer Umweg zu einem Ergebnis, das man auch direkt haben kann: eine Domain, unter deren Namen kein Fremder senden kann.
Der beste Grund für BIMI ist deshalb oft ein interner. Es ist das erste sichtbare Ergebnis eines Vorhabens, das sonst nur aus DNS-Einträgen besteht — und das macht es leichter, die Arbeit an den Stufen davor überhaupt bewilligt zu bekommen.