BIMI mit ESPs und Drittanbieter-Versendern: Alignment-Anforderungen

Wenn eine Drittanbieter-Plattform E-Mails in Ihrem Namen versendet, hängt Ihr Markenlogo — und Ihr BIMI-Eintrag — vollständig davon ab, wie diese Plattform die E-Mail-Authentifizierung handhabt. Die meisten Zustellbarkeits-Probleme bei BIMI-Implementierungen lassen sich auf ein einziges missverstandenes Detail zurückführen: BIMI interessiert sich nicht für Ihren SPF-Eintrag, wenn ein ESP Ihre E-Mails versendet. Es interessiert sich für DKIM-Alignment.

Dieser Artikel erklärt, warum das so ist und was Sie konfigurieren müssen, damit BIMI zuverlässig über alle Versandplattformen in Ihrem Stack funktioniert.

Wie BIMI die Absenderidentität bewertet

BIMI basiert auf DMARC. Bevor ein Mailbox-Provider Ihr Logo anzeigt, prüft er, ob die Nachricht DMARC besteht. DMARC wiederum erfordert Alignment — die Domain im RFC 5322 From-Header (die Adresse, die Ihr Empfänger sieht) muss mit der Domain übereinstimmen, die entweder durch SPF oder DKIM authentifiziert wurde.

| Authentifizierungsmethode | Domain, die für Alignment ausgewertet wird | |---|---| | SPF | RFC 5321 MAIL FROM (Envelope-Absender / Bounce-Domain) | | DKIM | d=-Tag im DKIM-Signature-Header | | BIMI-Auslöser | RFC 5322 From:-Header-Domain |

Die entscheidende Unterscheidung: SPF aligned gegen den Envelope-Absender. DKIM aligned gegen das d=-Tag.

Warum SPF-Alignment bei ESPs fehlschlägt

Wenn Mailchimp, HubSpot, SendGrid oder Salesforce Marketing Cloud eine Nachricht in Ihrem Namen versendet, wird der SMTP-Envelope-Absender (MAIL FROM) auf eine Bounce-Tracking-Domain gesetzt, die vom ESP kontrolliert wird — zum Beispiel:

• bounce.list-manage.com (Mailchimp)
• bounce.hubspotemail.net (HubSpot)
• em.sendgrid.net (SendGrid)
• et.ihredomain.com oder pub.s10.exacttarget.com (Salesforce Marketing Cloud)

SPF authentifiziert diese Envelope-Domain, nicht Ihre From:-Header-Domain. Sofern die Bounce-Domain des ESP nicht exakt mit Ihrer Domain übereinstimmt, wird SPF-Alignment fehlschlagen.

Dies ist erwartetes Verhalten. Es ist kein Bug. So funktioniert das Protokoll.

Kernpunkt: Ein fehlgeschlagenes SPF-Alignment blockiert BIMI nicht — vorausgesetzt, DKIM-Alignment ist erfolgreich. DMARC erfordert nur, dass ein Alignment-Mechanismus besteht.

DKIM-Alignment: Der einzig zuverlässige Weg für ESP-Versender

Damit BIMI funktioniert, wenn ein ESP Ihre E-Mails versendet, muss der ESP ausgehende Nachrichten mit einer DKIM-Signatur signieren, bei der das d=-Tag mit Ihrer From-Header-Domain übereinstimmt.

Was "übereinstimmen" bedeutet

DMARC unterstützt zwei Alignment-Modi:

• Relaxed Alignment (Standard): Die d=-Domain muss dieselbe Organizational Domain wie die From:-Header-Domain teilen. Zum Beispiel aligned d=mail.ihredomain.com mit From: [email protected].
• Strict Alignment: Die d=-Domain muss eine exakte Übereinstimmung mit der From:-Header-Domain sein.

Die meisten DMARC-Policies verwenden Relaxed Alignment. Prüfen Sie das adkim=-Tag Ihrer Policy — wenn es fehlt, wird Relaxed angenommen.

Wie eine erfolgreiche DKIM-aligned Nachricht aussieht

From: [email protected]          ← RFC 5322 From

DKIM-Signature: v=1; a=rsa-sha256;
d=ihredomain.com;                      ← stimmt mit From-Domain überein ✓
s=esp-selector;
...

Diese Nachricht besteht DMARC via DKIM-Alignment. BIMI kann angezeigt werden.

Wie eine fehlerhafte Konfiguration aussieht

From: [email protected]          ← RFC 5322 From

DKIM-Signature: v=1; a=rsa-sha256;
d=sendgrid.net;                        ← ESP-Domain, nicht Ihre ✗
...

Diese Nachricht besteht DMARC-Alignment nicht. BIMI wird nicht angezeigt, unabhängig davon, ob Ihr BIMI-DNS-Eintrag korrekt veröffentlicht ist.

Konfiguration von Custom DKIM-Signierung bei wichtigen ESPs

Die folgende Tabelle fasst die Unterstützung für Custom DKIM-Domains bei den am häufigsten eingesetzten ESPs zusammen. "Custom DKIM" bedeutet, dass der ESP mit Ihrer Domain im d=-Tag signieren kann, nicht mit seiner eigenen.

| ESP | Custom DKIM-Domain-Unterstützung | Konfigurationspfad | Anmerkungen | |---|---|---|---| | Mailchimp | ✅ Ja | Audience → Settings → Domains → Authenticate | Erfordert DNS-CNAME-Einträge; Mailchimp verwaltet die Schlüssel | | HubSpot | ✅ Ja | Settings → Marketing → Email → Sending Domains | Fügt DKIM-TXT-Einträge zu Ihrem DNS hinzu | | Salesforce Marketing Cloud | ✅ Ja | Admin → Domain Management → SAP / Private Domain | Erfordert Private Domain-Setup; SAP-Konfiguration empfohlen | | SendGrid (Twilio) | ✅ Ja | Settings → Sender Authentication → Domain Authentication | Veröffentlicht CNAME-Einträge; automatische Schlüsselrotation verfügbar | | Klaviyo | ✅ Ja | Account → Settings → Email → Sending Domains | CNAME-basiert; erforderlich für dediziertes Versenden | | ActiveCampaign | ✅ Ja | Settings → Advanced → Email Domain Authentication | DKIM-TXT-Eintrag wird Ihrem DNS hinzugefügt | | Brevo (ehemals Sendinblue) | ✅ Ja | Senders & IP → Domains | DKIM- und DMARC-Eintrag-Anleitung bereitgestellt | | Constant Contact | ⚠️ Eingeschränkt | Self-authenticate via DKIM in erweiterten Einstellungen | Custom Domain DKIM verfügbar, aber Setup ist nicht trivial | | Campaign Monitor | ✅ Ja | Account Settings → Authenticated Domains | DKIM- und SPF-Alignment werden beide unterstützt | | Postmark | ✅ Ja | Sender Signatures → DKIM | Per-Domain DKIM; starker Fokus auf Zustellbarkeit | | Amazon SES | ✅ Ja | Configuration → Verified Identities → DKIM | Unterstützt sowohl Easy DKIM (AWS-verwaltet) als auch BYODKIM |

Wenn Ihr ESP nicht aufgeführt ist oder Custom DKIM-Domain-Signierung nicht unterstützt, wird BIMI für E-Mails, die über diese Plattform versendet werden, nicht funktionieren. Kontaktieren Sie Ihren ESP, um diese Funktion anzufragen, oder evaluieren Sie einen alternativen Anbieter.

Schritt-für-Schritt: DKIM-Alignment für BIMI verifizieren

Befolgen Sie diese Schritte, um zu bestätigen, dass Ihre ESP-Konfiguration BIMI unterstützt, bevor Sie Ihren BIMI-DNS-Eintrag veröffentlichen.

1. Senden Sie eine Testnachricht von Ihrem ESP an ein Postfach, das Sie kontrollieren (Gmail, Yahoo oder ein Microsoft 365-Konto).

1. Öffnen Sie die Roh-Nachrichten-Header. In Gmail: Drei-Punkte-Menü → Original anzeigen. In Outlook: Datei → Eigenschaften → Internet-Header.

1. Lokalisieren Sie den DKIM-Signature-Header. Finden Sie den d=-Tag-Wert.

1. Vergleichen Sie den d=-Wert mit Ihrer From:-Header-Domain.

- Wenn d=esp-plattform.com und From: [email protected] → ❌ Nicht aligned

1. Prüfen Sie den Authentication-Results-Header (