BIMI: Wie Brand Indicators for Message Identification funktioniert

BIMI steht für Brand Indicators for Message Identification. Es ist ein E-Mail-Authentifizierungsstandard, der es einem Absender ermöglicht, ein Markenlogo zu veröffentlichen, das unterstützende Mailbox-Anbieter auswerten und – sofern deren eigene Richtlinien es zulassen – neben den Nachrichten des Absenders anzeigen können.

BIMI ist keine Funktion zum Hochladen von Bildern. Es baut auf authentifizierter E-Mail, DNS, einem eingeschränkten SVG-Format und Empfängerrichtlinien auf. Ein korrekter BIMI-Eintrag verpflichtet keinen Posteingang zur Anzeige eines Logos. Mailbox-Anbieter treffen ihre eigenen Entscheidungen für einzelne Domains.[1]

Der praktische Umsetzungsweg besteht aus vier Teilen:

1. die sendende Domain authentifizieren und DMARC durchsetzen;
2. ein gültiges SVG Tiny Portable/Secure-Logo vorbereiten;
3. den BIMI-Assertion-Eintrag und – sofern erforderlich – eine Zertifikatsdatei veröffentlichen; und
4. die eingerichtete Domain testen, anstatt davon auszugehen, dass die Veröffentlichung allein ausreicht.

Ein BIMI-Domain-Audit durchführen oder ein Logo validieren bevor DNS-Änderungen vorgenommen werden.

Was BIMI leistet

Ein BIMI-Assertion-Eintrag gibt den Speicherort einer Logo-Datei und – sofern zutreffend – einer Zertifikatsdatei an. Ein unterstützender Empfänger kann diese Ressourcen abrufen, sie zusammen mit der Authentifizierung des Absenders auswerten und entscheiden, ob der Indikator dargestellt wird.

Das Ergebnis ist eine erkennbare Absenderidentität im Posteingang des Empfängers. Das eigentliche Ziel ist jedoch eine stärkere Absenderauthentifizierung. BIMI setzt DMARC voraus; es ersetzt weder DMARC noch SPF oder DKIM.

Was BIMI nicht leistet

BIMI garantiert weder Zustellbarkeit, Absenderreputation noch die Anzeige eines Logos. Ein technisch gültiger Eintrag kann trotzdem nicht angezeigt werden, wenn der empfangende Anbieter eine abweichende Richtlinie anwendet, wenn eine Ressource nicht abgerufen oder validiert werden kann oder wenn die Nachricht die Authentifizierungsanforderungen des Empfängers nicht erfüllt. BIMI sollte daher als Teil eines umfassenderen Programms zur authentifizierten E-Mail-Kommunikation eingesetzt werden, nicht als kosmetische Abkürzung.[1]

Der Implementierungsweg

1. DMARC durchsetzen

Für Googles dokumentierten BIMI-Workflow muss DMARC mit einer Richtlinie von p=quarantine oder p=reject und pct=100 konfiguriert sein; p=none ist nicht zulässig.[2] Außerdem muss SPF oder DKIM die E-Mail so authentifizieren, dass die DMARC-Ausrichtung erfüllt wird.

Befindet sich die Domain noch im Überwachungsmodus, sollte mit einem kontrollierten DMARC-Programm begonnen werden. DMARCSwiss ist der Portfolio-Dienst für die laufende Überwachung aggregierter Berichte und die schrittweise Richtlinienverschärfung. Diese Seite behandelt p=none nicht als BIMI-bereit.

Den detaillierten DMARC-Anforderungsleitfaden lesen.

2. Ein SVG Tiny P/S-Logo vorbereiten

BIMI verwendet ein eingeschränktes SVG-Profil, das für eine sichere Darstellung in sicherheitssensiblen Umgebungen konzipiert ist. Standard-Exporte aus Design-Tools enthalten häufig nicht unterstützte Elemente, externe Referenzen, Skripte, Animationen oder Geometrie, die normalisiert werden muss.

Googles veröffentlichte Anleitungen umfassen die Anforderungen an SVG Tiny P/S sowie Gmail-spezifische Bedingungen, darunter absolute Pixelabmessungen und Empfehlungen zu quadratischer Darstellung, einfarbigem Hintergrund, Dateigröße und einem desc-Element.[2]

makeBIMI konvertiert und validiert SVG-Dateien anhand der relevanten technischen Anforderungen. Das Ergebnis ist eine technische Validierung, keine Zusicherung, dass eine Zertifizierungsstelle oder ein Mailbox-Anbieter die finale Implementierung akzeptiert.

Ein Logo konvertieren oder validieren · Den SVG Tiny P/S-Leitfaden lesen · Den technischen Standard lesen

3. Den BIMI-Eintrag veröffentlichen

Ein Standard-BIMI-Assertion-Eintrag wird unter folgender Adresse veröffentlicht:

default._bimi.example.com

Ein repräsentativer Eintrag lautet:

v=BIMI1; l=https://example.com/brand/logo.svg; a=https://example.com/brand/certificate.pem

Das Tag v= deklariert die BIMI-Version. Das Tag l= gibt das gehostete SVG an. Das Tag a= gibt die Zertifikatsdatei an, wenn die Implementierung des Empfängers dies erfordert.

Ressourcen müssen öffentlich über HTTPS erreichbar sein und nach der Veröffentlichung stabil bleiben. Googles Anleitungen erläutern den Aufbau der Zertifikatsdatei und erklären, dass das Endeinheitszertifikat, die Zwischenzertifikate und das Stammzertifikat bei Verwendung einer PEM-Datei typischerweise in dieser Reihenfolge angehängt werden.[2]

Den BIMI-DNS-Eintragsleitfaden lesen, bevor ein produktiver Eintrag veröffentlicht wird.

4. Festlegen, ob ein Zertifikat erforderlich ist

Die Anforderungen der Empfänger unterscheiden sich. Google dokumentiert für seine BIMI-Einrichtung ein VMC oder CMC und gibt an, dass Gmails verifiziertes Häkchen mit einem VMC verbunden ist.[2] Ein VMC basiert auf einem eingetragenen Markenlogo und einem aufwendigen Verifizierungsprozess. Ein CMC kann für berechtigte Anwendungsfälle ohne Markenzeichen verfügbar sein, abhängig von den aktuellen Anforderungen der Zertifizierungsstelle und des Empfängers.

Der portfolio-genehmigte Wortlaut für aktive VMC-Aussteller lautet: DigiCert und Entrust sind die aktiven VMC-Aussteller. Historische Ausstellerlisten sollten nicht als Grundlage dienen, und es sollte nicht davon ausgegangen werden, dass jeder Zertifikatstyp beim Empfänger dasselbe Ergebnis erzielt.

Den VMC- und CMC-Leitfaden lesen · VMC und CMC vergleichen · veriBIMI kontaktieren

Empfängerrichtlinien sind entscheidend

Der BIMI-Standard gibt Empfängern eine gemeinsame Methode, Logo-Informationen abzurufen und auszuwerten. Er hebt das Ermessen der Empfänger nicht auf. Die BIMI Group stellt ausdrücklich fest, dass ein Mailbox-Anbieter nicht verpflichtet ist, ein Logo für eine Domain anzuzeigen, die BIMI verwendet, und eigene Entscheidungen für einzelne Domains treffen kann.[1]

Aus diesem Grund wird makeBIMI eine datierte BIMI Receiver Requirements Matrix pflegen. Sie wird dokumentierte Anbieteranforderungen von allgemeinen Standardregeln trennen und unsicheres oder undokumentiertes Verhalten als solches kennzeichnen. Sie wird keine Unterstützung aus Screenshots, Drittanbieterangaben oder älteren Blogbeiträgen ableiten.

Häufige Gründe, warum ein Logo nicht angezeigt wird

Die üblichen Ursachen sind eindeutig:

• DMARC ist noch auf p=none gesetzt, oder der Sendestream ist nicht ausgerichtet.
• Das SVG enthält unzulässige Inhalte oder erfüllt die dokumentierten Anforderungen eines Empfängers nicht.
• Der BIMI-Assertion-Eintrag ist fehlerhaft, unter dem falschen Selektor veröffentlicht oder noch nicht im DNS sichtbar.
• Das gehostete SVG oder die PEM-Datei kann nicht sicher abgerufen werden.
• Die Zertifikatskette oder die Beziehung zum Logo kann nicht validiert werden.
• Eine externe Sendeplattform ist nicht für eine ausgerichtete Authentifizierung konfiguriert.
• Der empfangende Anbieter zeigt den Indikator für diese Nachricht oder Domain nicht an.

Das BIMI-Audit verwenden, um die erkennbare Domain-Konfiguration zu prüfen, und anschließend den passenden technischen Leitfaden befolgen, anstatt mehrere Einstellungen gleichzeitig zu ändern.

Eine strukturierte Implementierungsreihenfolge

Weiterführende Implementierungsleitfäden

• Technischer BIMI-Standard
• BIMI-E-Mail-Client-Unterstützung
• BIMI mit Drittanbietern und ESPs
• So prüfen Sie, ob BIMI funktioniert
• Warum ein BIMI-Logo nicht angezeigt wird
• BIMI und Microsoft Outlook

Häufig gestellte Fragen

Funktioniert BIMI ohne DMARC-Durchsetzung?

Nicht in Googles dokumentiertem BIMI-Workflow. Google verlangt eine DMARC-Richtlinie von p=quarantine oder p=reject und pct=100, nicht p=none.[2]

Ist ein normales SVG ausreichend?

Nein. BIMI verwendet ein eingeschränktes SVG Tiny P/S-Profil. Ein Logo, das auf einer Website korrekt dargestellt wird, kann dennoch Elemente enthalten, die die BIMI-Anforderungen nicht erfüllen. Das final gehostete Asset sollte validiert werden, anstatt davon auszugehen, dass ein Design-Tool-Export geeignet ist.

Garantiert ein gültiger BIMI-Eintrag ein Logo in jedem Posteingang?

Nein. Die Anzeige beim Empfänger bleibt eine Entscheidung des Empfängers. Die BIMI Group weist darauf hin, dass Anbieter eigene Entscheidungen für einzelne Domains treffen können.[1]

Welche VMC-Aussteller sind aktiv?

Für Portfolio-Inhalte ist der genehmigte aktuelle Wortlaut zu verwenden: DigiCert und Entrust sind die aktiven VMC-Aussteller. Zertifikats- und Empfängeranforderungen können sich ändern; daher sollten die aktuellen Anforderungen vor einer Antragstellung geprüft werden.

Quellen

[1] BIMI Group — Mailbox Providers

[2] Google Workspace Admin Help — Set up BIMI

[3] BIMI Group — Supporting Documents