Verlangt Gmail ein VMC für BIMI? (Update 2026)

Die häufigste Frage, die Administratoren bei der Planung einer BIMI-Implementierung stellen, ist, ob ein kryptografisches Zertifikat erforderlich ist. Ja. Um Ihr Logo in Gmail oder Apple Mail anzuzeigen, müssen Sie ein Verified Mark Certificate (VMC) oder ein Common Mark Certificate (CMC) erwerben.

Dieser Artikel dokumentiert die Richtlinienunterschiede zwischen den Mailbox-Anbietern und die Gründe, warum die größten Anbieter eine zertifikatsbasierte Verifizierung durchsetzen [1].

Die zwei Stufen von BIMI

Das Brand Indicators for Message Identification (BIMI) Protokoll definiert zwei Implementierungsstufen:

1. Selbstdeklariertes BIMI: Der Domain-Inhaber veröffentlicht einen DNS-Eintrag, der auf eine Logo-Datei verweist. Keine dritte Partei verifiziert die Identität des Inhabers.
2. Zertifiziertes BIMI: Der Domain-Inhaber veröffentlicht einen DNS-Eintrag, der sowohl auf eine Logo-Datei als auch auf ein .pem-Zertifikat verweist, das von einer anerkannten Zertifizierungsstelle (CA) ausgestellt wurde.

Yahoo-Standard (selbstdeklariert)

Yahoo Mail und AOL akzeptieren die selbstdeklarierte Stufe. Ihr Logo wird in diesen Clients angezeigt, wenn Ihre Domain DMARC mit p=quarantine oder p=reject durchsetzt und Ihr Logo der W3C SVG Tiny P/S-Spezifikation entspricht. Ein VMC ist nicht erforderlich.

Google- und Apple-Standard (zertifiziert)

Gmail, Google Workspace, iOS Mail, macOS Mail und iCloud Mail verlangen die zertifizierte Stufe. Diese Clients lehnen selbstdeklarierte Einträge ab. Wenn Ihr BIMI-Eintrag kein a=-Tag enthält, das auf ein gültiges Zertifikat verweist, ignorieren diese Clients den Eintrag und zeigen stattdessen einen generischen Silhouetten-Platzhalter an [2].

Warum Gmail und Apple Zertifikate verlangen

Die Zertifikatsanforderung adressiert eine spezifische Lücke in den Schutzmaßnahmen von DMARC.

DMARC verifiziert, dass eine Nachricht von der Domain im From-Header stammt. DMARC verifiziert nicht, dass der Domain-Inhaber das rechtliche Recht hat, ein bestimmtes Logo anzuzeigen. Ohne Zertifikatsanforderung könnte ein Angreifer secure-bank-alerts.com registrieren, DMARC darauf durchsetzen und einen selbstdeklarierten BIMI-Eintrag veröffentlichen, der auf das Logo einer legitimen Bank verweist.

Um diese Form des visuellen Spoofings zu verhindern, delegieren Google und Apple die Identitätsverifizierung an WebTrust-geprüfte Zertifizierungsstellen, darunter Entrust und GlobalSign.

Wenn Sie ein VMC beantragen, führt die CA eine notariell beglaubigte Identitätsprüfung Ihrer Organisation durch und validiert Ihr Logo gegen offizielle Markenregister. Die CA stellt das Zertifikat erst nach Abschluss dieser Verifizierung aus.

Das blaue Häkchen

Gmail zeigt ein verifiziertes blaues Häkchen neben dem Absendernamen für Domains an, die ein VMC einsetzen. Das Häkchen signalisiert dem Empfänger, dass sowohl die Sendeinfrastruktur als auch die Markenidentität kryptografisch verifiziert wurden.

[!NOTE]

Ein Common Mark Certificate (CMC) zeigt Ihr Logo in Gmail an, ohne dass eine eingetragene Marke erforderlich ist, aktiviert jedoch nicht das blaue Häkchen.

Implementierungspfad

Um Ihr Logo in Gmail und Apple Mail anzuzeigen, führen Sie die folgenden Schritte durch:

1. Erfüllen Sie die technischen Voraussetzungen. Setzen Sie DMARC auf Ihrer Domain durch und erstellen Sie eine Logo-Datei, die der W3C SVG Tiny P/S-Spezifikation entspricht. Zur Automatisierung der Dateivorbereitung verwenden Sie makeBIMI.
2. Erwerben Sie ein Zertifikat. Der CA-Antragsprozess erfordert Markendokumentation und Compliance-Prüfung. Unternehmen beauftragen typischerweise einen Vermittler wie veriBIMI, um die Infrastruktur zu prüfen, die Markenverifizierung zu verwalten und das endgültige Zertifikat auszustellen.

Ein selbstdeklarierter Eintrag ist für Tests geeignet. Produktivumgebungen in Gmail und Apple Mail erfordern ein Zertifikat.

Referenzen

[1] AuthIndicators Working Group. "BIMI Certificates." BIMI Group, https://bimigroup.org/bimi-certificates/ [2] Google Workspace Admin Help. "Set up BIMI." Google Support, https://support.google.com/a/answer/10911320