Der definitive BIMI-Implementierungsleitfaden 2026
Die maßgebliche technische Referenz für die BIMI-Implementierung. SVG Tiny P/S-Spezifikation, DMARC-Durchsetzungsanforderungen, VMC- vs. CMC-Zertifikatslandschaft, DNS-Record-Struktur und eine vollständige Implementierungs-Checkliste.
Was BIMI wirklich ist — und warum es wichtig ist
Brand Indicators for Message Identification (BIMI) ist das bedeutendste Vertrauenssignal im E-Mail-Bereich seit DMARC selbst. Es ermöglicht Domain-Inhabern, ein kryptografisch verifiziertes Markenlogo neben jeder gesendeten Nachricht anzuzeigen — in Gmail, Yahoo, Apple Mail und darüber hinaus.
Dies ist keine kosmetische Funktion. BIMI ist die visuelle Ausgabe einer rigorosen, mehrschichtigen Authentifizierungskette. Man kann es nicht fälschen. Man kann sich nicht an den zugrunde liegenden Sicherheitsanforderungen vorbeikaufen. Genau das macht das Logo bedeutsam: Es ist ein Arbeitsnachweis.
BIMI wurde im Juli 2021 von der IETF als RFC 9091 formalisiert und wird von der AuthIndicators Working Group verwaltet — einer Koalition aus Gmail, Yahoo, Apple, Fastmail und Cloudmark. Jeder große Posteingangsanbieter hat sich diesem Standard verpflichtet.
BIMI ist die visuelle Belohnung für strikte Domain-Sicherheit. Wenn Sie DMARC nicht durchgesetzt haben, wird Ihr Logo nicht angezeigt — unabhängig davon, wie perfekt Ihr SVG ist.
Der SVG Tiny P/S-Standard — Warum er so restriktiv ist
BIMI akzeptiert keine Standard-SVG-Datei. Es erfordert SVG Tiny P/S (Portable/Secure) — ein bewusst restriktives XML-Profil, das speziell für E-Mail-Rendering-Umgebungen definiert wurde.
E-Mail-Clients rendern BIMI-Logos in einem Sandbox-Kontext neben nicht vertrauenswürdigen Inhalten von Millionen von Absendern. Ein Standard-SVG ist ein leistungsfähiges Format, das Skripte ausführen, externe Ressourcen laden und beliebige Binärdaten einbetten kann. Im E-Mail-Kontext sind dies Angriffsvektoren.
Das W3C SVG Tiny P/S-Profil eliminiert diese Vektoren, indem es explizit verbietet: