BIMI: das verifizierte Logo, und was es wirklich kostet, es zu verdienen.

Was ist BIMI, und warum sitzt es auf DMARC auf?

BIMI ist ein DNS-basierter Standard, der einem Versender erlaubt, ein verifiziertes Markenlogo neben authentifizierter Mail in unterstützten Posteingängen zu zeigen. BIMI selbst ist der Anweisungssatz im DNS; das Zertifikat ist das, was beweist, dass das Logo wirklich Ihres ist. Definiert als der BIMI-Standard (RFC 9495), versteht man es am besten als die sichtbare Kirsche auf einer unsichtbaren Basis: die Basis ist solide E-Mail-Authentifizierung, und das Logo ist der Lohn dafür, sie gebaut zu haben. Deshalb lässt es sich nicht als Abkürzung kaufen. Ein empfangender Anbieter greift erst nach Ihrem Logo, nachdem er bestätigt hat, dass Ihre Mail wirklich Ihre ist, was er über DMARC feststellt.

Die maßgebliche Voraussetzung, von Google und jeder Zertifizierungsstelle klar benannt, ist DMARC in Durchsetzung. Ihre Richtlinie muss p=quarantine oder p=reject mit pct=100 sein; BIMI unterstützt p=none nicht, weil eine reine Überwachungsrichtlinie dem Anbieter sagt, dass Sie noch beobachten, statt gefälschte Mail aktiv abzuweisen. Die meisten Anbieter wollen zudem etwa dreißig aufeinanderfolgende Tage in der Durchsetzung sehen, bevor sie ein Logo zeigen, also ist es selbst nach dem Umstellen der Richtlinie kein Projekt desselben Nachmittags.

Diese Abfolge ist das Wichtigste, was man verinnerlichen sollte, weil sie BIMI vollständig neu einordnet. Es ist kein Marketing-Zusatz, den man am Ende anschraubt; es ist die sichtbare Bestätigung, dass die unglamouröse Authentifizierungsarbeit — SPF und DKIM ausgerichtet, DMARC in die Durchsetzung bewegt, ohne legitime Versender zu brechen — tatsächlich erledigt ist. Haben Sie unsere Texte zum Bewegen von DMARC in die Durchsetzung und zum Halten von SPF unter seiner Lookup-Grenze gelesen, ist BIMI das, was diese Mühen endlich möglich machen.

VMC oder CMC: welches Zertifikat brauchen Sie wirklich?

Beide Zertifikate erledigen denselben Kernzweck — sie beweisen einem Anbieter, dass das Logo in Ihrem BIMI-Eintrag rechtmäßig Ihres ist — und beide kommen als X.509-PEM-Datei. Der Unterschied liegt darin, wogegen sie prüfen und was sie freischalten. Ein Verified Mark Certificate ist an eine eingetragene Bildmarke gebunden, von einer akkreditierten CA gegen staatliche Markenregister geprüft. Es schaltet das blaue verifizierte Gmail-Häkchen frei, dazu die Logo-Anzeige in Gmail, Yahoo und Apple Mail. Der Haken ist die Marke: der Eintragungsprozess selbst kann 6 bis 12 Monate dauern, wenn Sie noch keine haben.

Ein Common Mark Certificate wurde von Google Anfang 2025 eingeführt, um die Berechtigung zu erweitern. Es verlangt keine eingetragene Marke — es akzeptiert stattdessen den Nachweis von mindestens 12 Monaten öffentlicher Logo-Nutzung — und zeigt das Logo in Gmail, aber ohne das Häkchen. Mit anderen Worten: ein CMC bringt Ihr Logo ohne die Bürokratie und Kosten einer eingetragenen Marke in Gmail, zum Preis des blauen Häkchens. Es ist der pragmatische Weg für SaaS- und E-Commerce-Marken ohne eingetragene Marke.

Die Entscheidung ist daher einfacher, als die Anbieterseiten klingen lassen. Halten Sie bereits eine eingetragene Bildmarke und ist das Häkchen strategisch wertvoll, holen Sie ein VMC. In jedem anderen Fall — keine eingetragene Marke, oder das Häkchen ist kein Jahr Markenarbeit wert — ist ein CMC die pragmatische Wahl: günstiger, schneller und genug, um das Logo in Gmail zu zeigen. Beide verlangen weiterhin dieselbe DMARC-Durchsetzung und dasselbe SVG-Tiny-PS-Logo darunter.

BIMI als Signal gegen Markenmissbrauch, nicht nur Zierde

Es ist leicht, BIMI unter Branding abzulegen, doch seine haltbarere Begründung ist defensiv. Phishing und Markenmissbrauch sind eine Konstante, und ein Empfänger, der einen überfüllten Posteingang durchsieht, hat sehr wenig, womit er entscheiden kann, ob eine Nachricht wirklich von einem Unternehmen stammt, dem er vertraut. Ein verifiziertes Logo, gestützt durch ein Zertifikat, das eine Zertifizierungsstelle gegen Marken- oder Nutzungsregister geprüft hat, ist ein für einen Fälscher wirklich schwer zu reproduzierendes Signal, weil der Fälscher die DMARC-Ausrichtung und die Zertifikatsvalidierung dahinter nicht bestehen kann.

Das ordnet neu, für wen BIMI ist. Die Marken, die am meisten profitieren, sind genau die am häufigsten missbrauchten: Banken, Händler, große Verbraucherdienste — Versender, deren Name sich zu fälschen lohnt. Für sie ist das Logo keine Eitelkeit; es ist ein Weg, die echte Nachricht sichtbar von der Fälschung zu unterscheiden, an der einen Stelle, an die der Empfänger tatsächlich blickt. Das Vertrauenssignal und die Sicherheitskontrolle sind dieselbe Sache aus zwei Blickwinkeln, was Teil davon ist, warum Anbieter das Logo so eng an die Durchsetzung binden.

Es bedeutet auch, dass der Wert zwischen Versendertypen asymmetrisch ist, und das ist eine ehrliche Erwähnung wert. Ein Versender von Unternehmen zu Unternehmen, dessen Mail überwiegend in Firmenpostfächern landet, oder ein interner Versender mit geringem Volumen, zieht aus einem verifizierten Logo weit weniger als eine Verbrauchermarke mit hohem Volumen, weil der Empfängerkontext anders und das Missbrauchsrisiko geringer ist. Die Technik ist dieselbe; die Rendite auf die Zertifikatskosten nicht.

Im DACH-Raum verstärkt der regulatorische Rahmen dieses defensive Argument zusätzlich. Deutsche und österreichische Banken sowie Versorger gehören zu den am häufigsten in Phishing-Wellen imitierten Absendern, und ein verifiziertes Logo gibt Empfängern in Gmail oder Apple Mail einen sichtbaren Anhaltspunkt, der eine echte Sparkassen- oder Versicherungsmail von der Fälschung trennt. Hinzu kommt die DSGVO-Rechenschaftspflicht: Wer eine durchgesetzte DMARC-Richtlinie betreibt und sie mit BIMI sichtbar macht, dokumentiert zugleich, dass er die Absenderdomain aktiv gegen Missbrauch absichert — ein Punkt, der bei der Bewertung technischer und organisatorischer Maßnahmen zählt. Und unter dem UWG ist die klare Erkennbarkeit des Absenders ohnehin geboten; ein verifiziertes Markenlogo ist die sichtbarste Form, dieser Anforderung im Posteingang nachzukommen.

Für österreichische und schweizerische Absender gilt dieselbe Logik mit eigenen Akzenten: Schweizer Empfänger fallen unter das revidierte Datenschutzgesetz, österreichische unter die DSGVO in ihrer nationalen Ausprägung, und in beiden Märkten erwarten Verbraucher von Banken und Behörden eine nachvollziehbare Absenderidentität. Das verschiebt die Kosten-Nutzen-Rechnung für regulierte DACH-Absender spürbar in Richtung eines Zertifikats, selbst wenn die reinen Engagement-Zahlen zurückhaltend zu lesen sind.

Wo wir stehen

Wir sind ehrlich über den Wert, weil das Marketing rund um BIMI heißläuft. Die Engagement-Zahlen, die Anbieter nennen — Öffnungs-Zuwächse von 4 bis 10 Prozent, große Gewinne bei der Markenerinnerung — stammen von Zertifizierungsstellen und BIMI-Plattformen, die ihr eigenes Produkt bewerben, also behandeln wir sie als richtungsweisend. Wir würden BIMI daher nicht auf Basis dieser Zahlen als Wachstumshebel verkaufen. Der vertretbare Fall ist enger und, wie wir meinen, nützlicher: betreiben Sie DMARC bereits in Durchsetzung und senden echte Mengen Verbrauchermail an Gmail, Yahoo und Apple Mail, ist ein verifiziertes Logo ein wirklich schwer zu fälschendes Vertrauenssignal, und es macht die schon gebaute Authentifizierung für die Empfänger Ihrer Mail sichtbar. Das ist etwas wert — aber es ist der Lohn für die vorherige Arbeit, kein Ersatz dafür.

Für einen Versender mit geringem Volumen oder von Unternehmen zu Unternehmen ist die Rechnung anders: die Zertifikatskosten sind real, der Markenweg für ein VMC sind Monate Aufwand, und der sichtbare Nutzen ist geringer, weil Ihre Empfänger keinen überfüllten Verbraucherposteingang durchsehen. Unser Rat ist unglamourös. Bringen Sie DMARC um seiner selbst willen zuerst in die Durchsetzung, denn dort liegt der Sicherheits- und Zustellbarkeitswert wirklich. Dann, wenn Ihr Publikum Gmail-lastig und verbrauchernah ist, fügen Sie ein CMC oder VMC als sichtbaren Abschluss hinzu. Wir hosten die Versandseite und können sicherstellen, dass die Authentifizierung unter BIMI korrekt ist; das Zertifikat selbst kaufen Sie bei einer CA, und wir sagen Ihnen lieber, wann Sie keines brauchen.