BIMI einrichten: Firmenlogo in Gmail, Yahoo und Apple Mail

Zuerst prüfen: Ist Ihre Domain bereit?

BIMI baut auf SPF, DKIM und DMARC auf. Prüfen Sie deshalb zuerst den Stand Ihrer Domain im kostenlosen Domain-Check: Kostenloser Domain-Check. Sie sehen dort, ob DMARC schon auf einer strengen Stufe steht und ob DKIM für Ihre Versandwege aktiv ist. Steht DMARC noch auf p=none, ist das die erste Baustelle, nicht das Logo.

Wo das Logo erscheint und was die Anbieter verlangen

Jeder Mailanbieter entscheidet selbst, ob und wann er ein BIMI-Logo zeigt. Der Stand heute:

• Gmail: zeigt das Logo nur mit einem gültigen Zertifikat, entweder VMC oder CMC (siehe unten). Mit VMC erscheint zusätzlich ein blaues Häkchen.
• Yahoo: verlangt derzeit kein Zertifikat. Das Logo erscheint aber nur bei Massenversand mit genügend Reputation, also etwa bei Newslettern, nicht bei persönlichen Mails.
• Apple Mail (ab iOS 16 und macOS Ventura sowie iCloud im Web): unterstützt BIMI, wenn der Mailanbieter des Empfängers die Prüfung übernimmt und ein anerkanntes Zertifikat vorliegt, in der Praxis ein VMC. Apple bietet zusätzlich mit «Branded Mail» ein eigenes Verfahren mit Registrierung bei Apple an.
• Microsoft Outlook und Microsoft 365: unterstützen BIMI nicht. Empfänger mit Outlook sehen kein Logo.

Für Schweizer KMU heisst das: Bei Geschäftskunden mit Microsoft 365 bringt BIMI sichtbar nichts. Bei Privatkunden mit Gmail-, Yahoo- oder iCloud-Adressen schon.

VMC oder CMC: welches Zertifikat brauchen Sie?

Ein Logo-Zertifikat bestätigt, dass Ihre Firma das Logo verwenden darf. Es wird von wenigen spezialisierten Zertifizierungsstellen ausgestellt, die Ihre Firma und Ihre Rechte am Logo prüfen.

• VMC (Verified Mark Certificate): verlangt eine eingetragene Marke bei einem anerkannten Markenamt. Das Eidgenössische Institut für Geistiges Eigentum (IGE) steht auf den Listen der Zertifizierungsstellen, ebenso das EU-Markenamt. Das Logo im Zertifikat muss der eingetragenen Marke entsprechen. Ein VMC gibt in Gmail das blaue Häkchen und wird auch von Apple Mail akzeptiert.
• CMC (Common Mark Certificate): gibt es seit Herbst 2024 und braucht keine eingetragene Marke. Die Zertifizierungsstellen verlangen stattdessen den Nachweis, dass das Logo seit mindestens zwölf Monaten öffentlich auf Ihrer Domain verwendet wird. Gmail zeigt mit CMC das Logo, aber ohne Häkchen. Apple Mail verlangt derzeit ein VMC.

Beide Zertifikate gelten höchstens rund ein Jahr und müssen danach erneuert werden.

Zu den Kosten nur die grobe Grössenordnung: Die Listenpreise für ein Logo-Zertifikat liegen derzeit bei etwa 1000 bis 1800 US-Dollar pro Jahr. Für ein VMC kommt die Marke dazu. Die Grundgebühr für eine Schweizer Marke beim IGE beträgt 450 Franken für bis zu drei Klassen und zehn Jahre, elektronisch angemeldet 100 Franken weniger. Rechnen Sie für die Eintragung einige Monate ein.

BIMI einrichten: Schritt für Schritt

1. DMARC verschärfen. Ihre DMARC-Regel muss auf p=quarantine oder p=reject stehen und für alle Mails gelten. Das heisst pct=100 oder kein pct im Eintrag, und kein sp=none für Subdomains. Beispiel: v=DMARC1; p=reject; rua=mailto:dmarc@example.com. Wie Sie gefahrlos von p=none hochstufen, zeigt DMARC von p=none auf quarantine und reject – wann ist es sicher?, was reject genau bewirkt, erklärt Der Weg zu p=reject: Schritt für Schritt.
2. DKIM für alle Versandwege. Mail, Newsletter, Buchhaltung und Shop sollten mit Ihrer eigenen Domain signieren. Nur Mails, die DMARC bestehen, bekommen ein Logo. Mehr dazu: DKIM erklärt: die digitale Signatur Ihrer Mails.
3. Logo als SVG Tiny PS vorbereiten. Das ist ein eingeschränktes SVG-Format. Es braucht im Kopf version="1.2" und baseProfile="tiny-ps" sowie ein title-Element mit dem Firmennamen. Nicht erlaubt sind Skripte, eingebettete Pixelbilder und Verweise auf externe Dateien. Das Bild muss quadratisch sein, das Motiv mittig, mit vollem Hintergrund. Gmail schneidet rund zu und verlangt mindestens 96 mal 96 Pixel.
4. Logo per HTTPS veröffentlichen, zum Beispiel unter https://www.example.com/bimi/logo.svg. Der Webserver muss die Datei als image/svg+xml ausliefern.
5. Zertifikat beantragen. Bei der Zertifizierungsstelle reichen Sie Firmendaten, SVG-Logo und bei VMC die Markennummer ein. Nach der Prüfung erhalten Sie eine PEM-Datei, in der Zertifikat und Logo stecken. Legen Sie sie ebenfalls per HTTPS ab, etwa unter https://www.example.com/bimi/zertifikat.pem.
6. BIMI-Eintrag im DNS anlegen. Ein neuer TXT-Eintrag mit dem Namen default._bimi (vollständig default._bimi.example.com) und dem Wert v=BIMI1; l=https://www.example.com/bimi/logo.svg; a=https://www.example.com/bimi/zertifikat.pem. l= zeigt auf das Logo, a= auf das Zertifikat. Ohne Zertifikat (nur Yahoo) entfällt a=.
7. Prüfen, ob es wirkt. Lassen Sie die Domain erneut prüfen und senden Sie eine Mail an eine Gmail-Adresse. Laut Google kann es bis zu 48 Stunden dauern, bis das Logo erscheint. Bei Yahoo hängt es zusätzlich von Ihrem Versandvolumen ab.

Typische Fehler beim BIMI-Logo

• DMARC zu schwach: p=none, pct=50 oder sp=none. Das ist der häufigste Grund, warum kein Logo erscheint.
• Normales SVG statt SVG Tiny PS: Grafikprogramme speichern in der Regel kein Tiny PS. Die Datei muss nachbearbeitet oder konvertiert werden.
• Logo nicht quadratisch oder mit transparentem Rand: In Gmail wird es dann abgeschnitten oder wirkt winzig.
• Schrift als Text statt als Pfade: Externe Schriften sind nicht erlaubt. Texte im Logo müssen in Pfade umgewandelt sein.
• Logo weicht von der Marke ab: Für ein VMC muss das Logo der eingetragenen Marke entsprechen. Ein neues Logo braucht unter Umständen eine neue Markeneintragung.
• Newsletter-Tool ohne eigene DKIM-Signatur: Diese Mails bestehen DMARC nicht und bekommen kein Logo, auch wenn der Rest stimmt.
• Zertifikat abgelaufen: Nach rund einem Jahr verschwindet das Logo in Gmail, wenn niemand erneuert.

Lohnt sich BIMI für ein KMU?

Ehrlich: nicht für jedes. Der eigentliche Schutz vor gefälschten Mails kommt von DMARC mit p=reject, nicht vom Logo. BIMI macht diesen Schutz für den Empfänger sichtbar, mehr nicht. Es ist kein offizielles Mittel gegen den Spam-Ordner.

BIMI lohnt sich eher, wenn

• Sie viele Mails an Privatkunden mit Gmail-, Yahoo- oder iCloud-Adressen senden, etwa Rechnungen, Bestellbestätigungen oder Newsletter,
• Ihre Marke bereits eingetragen ist oder ohnehin geschützt werden soll,
• Ihre Kunden häufig gefälschte Mails in Ihrem Namen erhalten und Sie ein klares Erkennungszeichen wollen.

Wenig bringt BIMI, wenn Sie vor allem mit anderen Firmen auf Microsoft 365 kommunizieren. Dann sparen Sie sich die jährlichen Zertifikatskosten und investieren die Zeit lieber in einen sauberen Weg zu p=reject. Den brauchen Sie ohnehin, und er ist die Voraussetzung, falls Sie BIMI später doch einrichten.

Was DomainRadar dabei übernimmt

DomainRadar überwacht SPF, DKIM und DMARC Ihrer Domain laufend und wertet die DMARC-Berichte aus. So sehen Sie, wann alle Versandwege bestehen und der Wechsel auf p=quarantine oder p=reject sicher ist, also die Voraussetzung für BIMI. Im Portal prüft DomainRadar zudem Ihren BIMI-Eintrag und das Zertifikat und meldet, wenn etwas nicht mehr stimmt.