BIMI und VMC: Markenlogo im Postfach absichern 2026

Was BIMI im Postfach bewirkt

BIMI ist ein offener Standard, der E-Mail-Anbietern signalisiert, welches Logo sie neben authentifizierten Nachrichten einer Domain anzeigen dürfen. Die Anzeige greift nur, wenn die Nachricht die E-Mail-Authentifizierung besteht - das Logo wird damit zum sichtbaren Beweis, dass eine Mail tatsächlich aus der beanspruchten Domain stammt. Für Empfänger senkt das die Hürde, Phishing zu erkennen: Fehlt bei einer angeblichen Marken-Mail das gewohnte Logo, ist das ein Warnsignal, das ohne technisches Wissen wahrnehmbar ist.

Der Bedarf ist real. Phishing war laut dem Verizon 2025 Data Breach Investigations Report in 16 % aller Datenschutzverletzungen der initiale Zugangsvektor, und 60 % aller Sicherheitsvorfälle enthielten ein menschliches Element - meist eine betrügerische E-Mail (Verizon 2025 DBIR). Am oberen Ende der Schadensskala steht Business E-Mail Compromise (BEC): Allein 2024 verursachte diese Betrugsform 2,77 Milliarden US-Dollar gemeldeten Schaden, bei einem Medianverlust von rund 50.000 US-Dollar pro Vorfall (FBI IC3). BIMI beseitigt diese Bedrohung nicht, verschiebt die Erkennung aber an eine Stelle, an der Empfänger sie unmittelbar wahrnehmen: das Postfach selbst.

Die vier Bausteine der BIMI-Kette

BIMI im Postfach ist das Ergebnis von vier Bausteinen, die alle gleichzeitig stimmen müssen. Fällt einer aus, erscheint kein Logo - unabhängig davon, wie sorgfältig die übrigen drei umgesetzt sind. Diese Abhängigkeit ist der Grund, BIMI als zusammenhängende Kette zu betrachten und nicht als Einzelmaßnahme.

Wichtig ist die Reihenfolge der Abhängigkeit: DMARC ist die Voraussetzung, ohne die nichts weiter zählt. Erst darauf folgen Record, Logo und Zertifikat. Wer diese Kette einmal versteht, erkennt sofort, warum ein scheinbar unauffälliger Eingriff an einer Stelle - etwa das kurzzeitige Zurücksetzen der DMARC-Policy während einer Fehlersuche - das Logo im gesamten Postfach verschwinden lässt.

VMC oder CMC: Welches Zertifikat brauchen Sie

Das Verified Mark Certificate (VMC) ist die ursprüngliche und am breitesten unterstützte Variante. Es wird von autorisierten Mark Verifying Authorities ausgestellt und setzt eine eingetragene Marke voraus (BIMI Group) - in Deutschland etwa beim Deutschen Patent- und Markenamt (DPMA) oder als Unionsmarke beim EUIPO (EUIPO). Das VMC ist ein kostenpflichtiges, jährlich zu erneuerndes Zertifikat, das neben der Marke auch die Domain-Kontrolle und die Organisation prüft.

Das Common Mark Certificate (CMC) führte Google Anfang 2025 als Alternative ein. Es verlangt keine eingetragene Marke, sondern den Nachweis, dass das Logo bereits über einen längeren Zeitraum öffentlich unter der Domain verwendet wurde (Google). Damit öffnet sich BIMI auch für Organisationen ohne Markenschutz - allerdings mit derzeit engerer Provider-Unterstützung als beim VMC. Von rund 33.924 gültigen BIMI-Records Mitte 2024 enthielten überhaupt nur etwa 3.450 einen Verweis auf ein VMC (DMARC.org); die große Mehrheit blieb damit bei Gmail und Apple Mail ohne Logo.

DMARC-Enforcement: die harte Voraussetzung

BIMI ist ohne durchgesetztes DMARC wirkungslos. Der Standard verlangt ausdrücklich eine Policy auf Durchsetzungsniveau - p=quarantine oder p=reject auf der organisatorischen Domain (BIMI Group). Eine Domain, die bei p=none verharrt, erhält kein Logo, selbst wenn Record, Logo und Zertifikat einwandfrei eingerichtet sind. Damit ist DMARC-Enforcement der Flaschenhals, an dem die meisten BIMI-Vorhaben zuerst hängen bleiben.

Die technische Basis ist immerhin so verbreitet wie nie. Im ersten Quartal 2026 lag die globale DMARC-Pass-Rate bei 88,99 %, die DKIM-Pass-Rate bei 90,90 % und die SPF-Pass-Rate bei 80,24 % (Cloudflare Radar). Getrieben wurde diese Entwicklung auch durch die Anforderungen großer Anbieter: Seit 2024 verlangen Google und Yahoo von Massenversendern mit mehr als 5.000 E-Mails pro Tag einen DMARC-Record (Google/Yahoo). Das BSI empfiehlt SPF, DKIM und DMARC ohnehin als Basismaßnahmen gegen Spoofing und Phishing (BSI).

Der Weg von p=none auf mindestens p=quarantine gelingt nur auf Basis einer belastbaren Auswertung der Rückmeldungen. Wie sich diese Aggregate-Reports lesen und in kontrollierten Stufen zur vollen Durchsetzung führen lassen, beschreibt der Beitrag dazu, DMARC-Reports systematisch auszuwerten. Erst wenn die Reports alle legitimen Sendequellen als authentifiziert ausweisen, ist die Enforcement-Stufe stabil - und BIMI kann darauf aufsetzen.

Das SVG-Logo und der BIMI-Record

Sind DMARC und Zertifikat vorhanden, entscheiden die letzten Meter über die Anzeige: der DNS-Record und das Logo selbst. Der BIMI-Record ist ein einzelner TXT-Eintrag, der auf beides verweist - das Logo und das Zertifikat. Beide URLs müssen dauerhaft und zuverlässig per HTTPS erreichbar sein (BIMI Group).

default._bimi.ihre-domain.de.  TXT  "v=BIMI1;
  l=https://ihre-domain.de/bimi/logo.svg;
  a=https://ihre-domain.de/bimi/vmc.pem"

# v = BIMI-Version
# l = HTTPS-URL zum SVG-Tiny-P/S-Logo (quadratisch)
# a = HTTPS-URL zum VMC- oder CMC-Zertifikat (PEM-Format)

Das Logo muss im restriktiven Profil SVG Tiny Portable/Secure vorliegen (BIMI Group): quadratisches Seitenverhältnis, ein title-Element mit dem Markennamen, keine externen Referenzen, keine Skripte. Ein aus einem Grafikprogramm exportiertes SVG erfüllt dieses Profil fast nie und muss gezielt bereinigt werden. Die häufigsten Fehler, die trotz korrekter Absicht die Anzeige verhindern, folgen einem klaren Muster:

• Falsches SVG-Profil: Skript-Tags, eingebettete Rasterbilder oder ein nicht quadratisches viewBox machen aus einem gültigen SVG ein für BIMI ungültiges Logo.
• Nicht erreichbare URL: Fällt der Webserver aus, der Logo oder Zertifikat ausliefert, verschwindet das Logo - obwohl DMARC und Record intakt sind.
• Abgelaufenes Zertifikat: Ein VMC oder CMC ist zeitlich befristet; läuft es ab und wird nicht rechtzeitig erneuert, endet die Logo-Anzeige.
• Record-Tippfehler: Ein falsch gesetztes l=- oder a=-Tag oder ein fehlender Eintrag unter default._bimi genügt, damit gar nichts erscheint.

Dass diese Details in der Praxis oft scheitern, zeigt die geringe Verbreitung. Eine Validity-Analyse von 13.000 Domains fand, dass 90,85 % überhaupt keinen BIMI-Record veröffentlicht hatten (Validity). Insgesamt wuchs die Zahl der BIMI-Records zwar von rund 10.000 Ende 2021 auf fast 35.000 Mitte 2024 (DMARC.org) - gemessen an der Gesamtzahl der Domains bleibt die Adoption aber unter einem Prozent (DMARC.org). Zwischen einem veröffentlichten Record und einem tatsächlich angezeigten Logo liegt also noch eine spürbare Umsetzungshürde.

Provider-Support: Gmail, Apple Mail und Yahoo

Wie ein Logo angezeigt wird und welches Zertifikat dafür nötig ist, unterscheidet sich je nach Postfach erheblich. Wer die Reichweite planen will, muss die Anforderungen der einzelnen Anbieter kennen.

Apple Mail zeigt BIMI-Logos seit iOS 16, iPadOS 16 und macOS Ventura 13 an (Apple Developer). Die Anzeige setzt voraus, dass der Anbieter ein geprüftes BIMI-Evidence-Dokument - in der Praxis ein VMC - verifiziert und die entsprechenden Header gesetzt hat (Apple Developer). Für Organisationen bedeutet das konkret: Wer das Logo auch auf iPhones und Macs sehen will, kommt Stand Mai 2026 an einem VMC nicht vorbei; ein CMC allein genügt für Apple Mail nach aktuellem Stand nicht. Gmail dagegen akzeptiert seit 2025 beide Zertifikatstypen (Google).

BIMI belohnt Absender, die eine hohe Authentifizierungsanforderung erfüllen und die Kontrolle über ihr Markenlogo nachweisen.

— BIMI Group, Zusammenfassung der Spezifikation

Warum BIMI ein Monitoring-Thema ist

Der entscheidende Punkt für den laufenden Betrieb: Eine einmal eingerichtete BIMI-Kette bleibt nicht von selbst intakt. Jedes der vier Glieder kann unbemerkt kippen - und weil das Logo dann einfach nicht mehr erscheint, gibt es kein lautes Fehlersignal, sondern nur ein stilles Verschwinden. Genau diese Unauffälligkeit macht BIMI zu einem Monitoring-Thema.

Deshalb gehört die BIMI-Kette unter dieselbe kontinuierliche Beobachtung wie SSL-Zertifikate oder DNS-Einträge. XICTRAQ Brand-Protection prüft den BIMI-Record, den Durchsetzungsstatus von DMARC und die Gültigkeit des hinterlegten Zertifikats - und schlägt Alarm, bevor das Logo aus dem Postfach fällt. Ergänzt um DNS- und Domain-Monitoring und Benachrichtigungen über alle relevanten Kanäle entsteht daraus eine durchgehende Überwachung des Versandkanals, die einzelne stille Ausfälle sichtbar macht.

BIMI als Teil der Marken- und Domain-Sicherheit

BIMI sichert die Wiedererkennbarkeit im Postfach - aber Markenmissbrauch beginnt oft schon vorher, an anderen Stellen der digitalen Infrastruktur. Ein belastbares Schutzkonzept betrachtet die Domain als Ganzes und verzahnt die E-Mail-Authentifizierung mit der Überwachung von Zertifikaten, DNS und Domainbestand.

• Certificate Transparency: Über die Überwachung der CT-Logs erkennen Sie unautorisiert ausgestellte Zertifikate für Ihre Domain, die für täuschend echte Phishing-Seiten missbraucht werden.
• Look-alike-Domains: Tippfehler- und Homoglyphen-Varianten Ihrer Marke werden gezielt registriert; das Beobachten von Lookalike-Domains macht solche Registrierungen früh sichtbar.
• DNS-Integrität: Wer Ihre DNS-Einträge manipuliert, kann auch den BIMI- und DMARC-Record umschreiben - DNS-Hijacking rechtzeitig zu erkennen schützt die Grundlage der Kette.
• Domainbestand: Eine versehentlich ablaufende Domain öffnet Spoofing Tür und Tor; den Domain-Ablauf zu verhindern gehört zur Grundhygiene.
• Zustellbarkeit: Landet eine Mailserver-IP auf einer Sperrliste, leidet die Zustellung unabhängig von BIMI - das Blacklist-Monitoring der Mailserver-IPs deckt diese Seite ab.

E-Mail-Sicherheit ist zudem kein isoliertes Thema. Angreifer, die eine Marke per Phishing imitieren, zielen häufig zugleich auf die Website - etwa über manipulierte Skripte oder ungepatchte Schwachstellen. Wer die Angriffsfläche vollständig betrachtet, bezieht die clientseitige Sicherheit nach PCI DSS 4.0.1 und die aktuellen Web-Risiken der OWASP Top 10 2025 mit ein. Erst das Zusammenspiel aus E-Mail-Authentifizierung, Domain-Überwachung und Anwendungssicherheit ergibt ein tragfähiges Bild.

Markenlogo im Postfach dauerhaft absichern

BIMI verwandelt saubere E-Mail-Authentifizierung in ein sichtbares Vertrauenssignal - aber nur, solange die gesamte Kette hält. Ein VMC oder CMC beglaubigt das Logo, DMARC auf Durchsetzungsniveau ist die Eintrittskarte, der DNS-Record und das SVG-Logo sind die letzten Meter bis ins Postfach. Weil jeder dieser Bausteine unbemerkt ausfallen kann und das Logo dann still verschwindet, ist BIMI kein Projekt mit Enddatum, sondern ein Dauerzustand, der Beobachtung braucht.

Behandeln Sie den BIMI-Record, die DMARC-Policy und den Zertifikatsstatus wie jedes andere kritische Betriebselement - überwacht, mit klaren Alarmen und einer verantwortlichen Rolle. Dann bleibt das Markenlogo dort, wo es hingehört: als verlässliches Echtheitszeichen im Posteingang Ihrer Empfänger, und nicht als Anzeige, die nach dem nächsten Serverumzug oder Zertifikatsablauf klammheimlich verstummt.

Häufig gestellte Fragen zu BIMI und VMC