Der BIMI-Standard
BIMI zeigt verifizierte Marken-Symbole in E-Mail-Clients an, wenn Authentifizierungs- und Richtlinienanforderungen erfüllt sind.
Drei Anforderungen
BIMI (Brand Indicators for Message Identification) operiert an der Schnittstelle dreier technischer Kontrollmechanismen. Erstens muss die sendende Domain eine DMARC-Richtlinie auf quarantine oder reject veröffentlichen und durchsetzen. Zweitens muss ein DNS TXT-Eintrag unter default._bimi.[domain] via HTTPS auf ein SVG-Bild verweisen. Drittens muss dieses SVG dem SVG Tiny Portable/Secure-Profil entsprechen. Alle drei Komponenten sind obligatorisch. Das Versagen einer beliebigen Komponente verhindert die Anzeige des Indikators.
DMARC-Durchsetzungsvoraussetzung
BIMI erfordert p=quarantine oder p=reject im DMARC-Eintrag der Organisationsdomain. Die Richtlinie p=none qualifiziert nicht. Subdomain-Richtlinien (sp=) werden separat evaluiert, wenn eine Subdomain einen eigenen BIMI-Eintrag veröffentlicht. Die DMARC-Authentifizierung muss mittels SPF oder DKIM mit Identifier-Alignment bestanden werden. Die Anforderung stellt sicher, dass nicht authentifizierte E-Mails keine Indikator-Anzeige auslösen können, wodurch das Impersonationsrisiko reduziert wird.
SVG Tiny Portable/Secure-Profil
SVG Tiny P/S ist in RFC 9345 definiert und beschränkt SVG auf eine sicherheitsgehärtete Teilmenge. Das Profil verbietet Skripte, externe Ressourcenreferenzen, Animationen und komplexe Filtereffekte. Zugelassene Elemente umfassen Grundformen (<path>, <circle>, <rect>), <title>, <desc> und statische Verläufe. Alle Stile müssen Präsentationsattribute oder interne <style>-Blöcke sein – kein externes CSS. Das <svg>-Wurzelelement muss den Tiny 1.2- oder 2.0-Namespace deklarieren und sollte baseProfile="tiny-ps" enthalten. Bilder müssen quadratisch sein und ein viewBox-Attribut aufweisen. Die Dateigröße sollte unter 32 KB liegen.
Begründung dieser Einschränkungen
Das Profil eliminiert gesamte Klassen clientseitiger Angriffsvektoren. Skripte könnten im Kontext des E-Mail-Clients ausgeführt werden. Externe Referenzen könnten Empfängerdaten via HTTP-Anfragen leaken oder bösartige Payloads einschleusen. Animationen könnten photosensitive Anfälle auslösen oder Phishing-Inhalte maskieren. Filter könnten Schwachstellen in Rendering-Engines ausnutzen. Durch die Beschränkung von SVG auf deklarative Geometrie und Verläufe ermöglicht das Profil Markenausdruck bei gleichzeitiger Beibehaltung eines analysierbaren, auditierbaren Formats, das sicher in sicherheitskritischen Kontexten gerendert werden kann.
BIMI-Eintragsstruktur
Der DNS TXT-Eintrag unter default._bimi.[domain] enthält zwei Komponenten: v=BIMI1 deklariert Version 1 der Spezifikation. l=https://example.com/logo.svg spezifiziert den SVG-Speicherort, der über HTTPS mit gültigem Zertifikat ausgeliefert werden muss. Ein optionales a=-Tag referenziert ein Verified Mark Certificate (VMC) für markenrechtlich geschützte Logos. Empfänger können VMCs für die Anzeige voraussetzen. Das Eintragsformat ist strikt definiert; überflüssige Tags oder Syntaxfehler führen zum Fehlschlagen der Abfrage.
Variabilität der Empfänger-Implementierung
BIMI ist ein empfängerseitiges Entscheidungsframework, kein garantiertes Anzeigeprotokoll. Gmail, Yahoo, Fastmail und andere unterhalten unabhängige Richtlinien bezüglich VMC-Anforderungen, Caching-Dauer, Bild-Rendering und Fallback-Verhalten. Einige Empfänger zeigen Indikatoren nur für E-Mails an, die sowohl SPF als auch DKIM bestehen. Andere implementieren zusätzliche Reputationssignale oder manuelle Prüfung. Ein gültiger BIMI-Eintrag garantiert keine Indikator-Sichtbarkeit. Empfänger können Bilder aus Gründen jenseits technischer Konformität ablehnen, einschließlich Verstößen gegen Inhaltsrichtlinien oder Markenrechtsstreitigkeiten.
Validierungsumfang dieses Tools
makeBIMI validiert syntaktische Konformität zu SVG Tiny P/S: Dokumentstruktur, Element-Whitelist, Attribut-Restriktionen, Namespace-Deklarationen und viewBox-Geometrie. Es prüft auf unzulässige Elemente, externe Referenzen, Skripte und Animationen. Es validiert nicht die DMARC-Eintragssyntax, DNS-Propagierung, HTTPS-Zertifikatsgültigkeit, VMC-Authentizität, Markenrechte oder empfängerspezifische Akzeptanzkriterien. Es garantiert nicht, dass irgendein E-Mail-Empfänger Ihren Indikator anzeigen wird. Die Validierung bestätigt technische Eignung, nicht Deployment-Erfolg.
Validieren Sie Ihr SVG gegen das Tiny P/S-Profil oder überprüfen Sie Ihre DMARC-Konfiguration.