Die E-Mail-Authentifizierung bringt viele seltsame Begriffe mit sich. SPF, DKIM und DMARC kennen und beherrschen wir längst: etablierte, über Jahre erprobte Sicherheitsprotokolle, die der modernen Strategie gegen die Aktivitäten böswilliger Akteure wie Spoofing und Phishing zugrunde liegen.
Vor Kurzem ist allerdings ein weiterer Standard dazugekommen. Brand Indicator Messaging Identification ist der Neuzugang im Team. Zwar handelt es sich nicht um ein klassisches Sicherheitsprotokoll, sondern eher um eine Ergänzung zu DMARC, trotzdem trägt der Standard viel dazu bei, digitale Korrespondenz abzusichern, das E-Mail-Ökosystem sicher zu machen und ISPs sowie Mailbox-Providern die Gültigkeit, Glaubwürdigkeit und Vertrauenswürdigkeit des Absenders zu belegen.
Viele große E-Mail-Anbieter wie Google und Apple haben längst erkannt, dass BIMI Authentifizierung und Sicherheitsmaßnahmen stärkt, und sogar Mechanismen ausgerollt, um den Standard zu unterstützen. Gleichzeitig sind sich normale Nutzer laut aktuellen Umfragen einig, dass sie Cyberangriffe damit besser erkennen.
Was ist also ein BIMI-Eintrag, warum ist er wichtig und wie erstellst und prüfst du ihn, damit er wie vorgesehen funktioniert? Folge unserer Anleitung.
Was ist ein BIMI-Eintrag?
Brand Indicator Messaging Identification, kurz BIMI, ist einer der grundlegenden Authentifizierungsstandards, den die AuthIndicators Working Group etabliert hat und den E-Mail-Anbieter, ISPs und wichtige Beteiligte im E-Mail-Ökosystem breit anerkennen.
Kurz gesagt ist es ein DNS-TXT-Eintrag auf dem Server deiner Domain, der das Logo des Absenders im E-Mail-Posteingang des Empfängers anzeigt, direkt vor Name und Betreffzeile des digitalen Newsletters. Er besteht aus vier Hauptteilen: Subdomain, Verified Mark Certificate, Marken-Logo und Version.
Da er nicht Teil des digitalen Newsletters ist, sondern sicher auf deinem Mailserver liegt, bleibt er vor böswilligen Akteuren geschützt, die während der Übertragung keinen direkten Zugriff darauf haben. Diese Informationen lassen sich deshalb nur schwer kompromittieren, was den Eintrag zu einem ernstzunehmenden Vertrauenssiegel macht, das digitale Korrespondenz vor Phishing schützt.
Ein BIMI-Eintrag ist kein klassischer Authentifizierungsansatz mit einem Sicherheitsprotokoll im Kern. Er ist eine zusätzliche Lösung, die verbreitete Sicherheitsmaßnahmen wie SPF, DMARC und DKIM verstärkt. Nur wenn die Nachricht die Authentifizierungsprüfung besteht und der Mailbox-Provider die Reputation des Unternehmens für ausreichend hält, darf er das DNS nach dem passenden BIMI-Eintrag abfragen und ihn in der Nachrichtenansicht des E-Mail-Clients anzeigen.
Zwar haben viele Anbieter die Bedeutung von BIMI längst anerkannt und sogar Mechanismen zur Unterstützung ausgerollt, trotzdem entscheidet jeder für sich, ob und wo er den Eintrag anzeigt. Apple und Gmail zeigen ihn zum Beispiel im Webmail und in den mobilen Apps neben dem Namen des Absenders. La Poste und Zone zeigen ihn dagegen neben der Betreffzeile, während Yahoo! das tatsächliche Marken-Logo eines Unternehmens nur in seinen mobilen Apps einblendet.
Voraussetzungen für einen BIMI-Eintrag
Anders als bei anderen E-Mail-Authentifizierungsprotokollen sind an einen BIMI-Eintrag bestimmte Voraussetzungen geknüpft. Da er als Erweiterung von DMARC und als Werkzeug zur Verstärkung der Sicherheitsmaßnahmen funktioniert, müssen Unternehmen bestimmte Kriterien erfüllen, um ihn im Posteingang des Empfängers zeigen zu dürfen.
Zuallererst müssen Unternehmen sicherstellen, dass die DMARC-Authentifizierung auf der Absender-Domain korrekt konfiguriert ist und die Policy entweder auf „reject“ oder „quarantine“ steht. Scheitert die DMARC-Prüfung, zeigen Mailbox-Provider keinen BIMI-Eintrag an. Daran scheitern mehr Absender, als du vermutest: unsere Benchmark-Daten zeigen, dass 42 % der Domains, die wir prüfen, noch gar keine DMARC-Policy haben, was sie für BIMI disqualifiziert, bevor sie überhaupt anfangen.
Zweitens sollte das Unternehmen eine gute Reputation beim Versand und eine saubere Versandhistorie für Domains und IP-Adressen haben.
Drittens muss das Unternehmen das Verified Mark Certificate beschaffen. Das VMC dient als zusätzliche Sicherheitsebene, die belegt, dass die Domain dem Unternehmen gehört. Dafür braucht es eine in einer zuständigen Jurisdiktion eingetragene Marke und ein BIMI-Logo, das zu dieser Marke passt.
Schließlich muss das Unternehmen die Logo-Spezifikationen erfüllen. Zunächst sollten Marken für BIMI-Einträge Logotypen erstellen, die zur eingetragenen Marke passen, leicht wiedererkennbar sind und Merkmale mitbringen, die die Verifizierung unterstützen. Sie müssen über verschiedene Auflösungen hinweg gleich aussehen, ohne an Qualität zu verlieren.
Auf der technischen Seite muss das BIMI-Logo quadratisch sein und im Format Scaled Vector Graphic vorliegen, ohne
E-Mail-Anbieter, die BIMI unterstützen
Wie bei jedem neuen E-Mail-Standard unterstützt ihn nicht jeder Mailbox-Provider. Seine Verbreitung wächst allerdings, besonders seit sich Google 2021 dazu bekannt und andere Anbieter ermutigt hat, diese zusätzliche Sicherheitsmaßnahme einzuführen.
Aktuell unterstützen Gmail den BIMI-Eintrag mit einem Verification Machine Certificate und einem Certificate Management Certificate, Yahoo ohne VMC-Pflicht, Apple Mail ab iOS 16 und Ventura 13 sowie Fastmail, La Poste, AOL/Netscape und Cloudmark. Comcast, Seznam und BT planen die Unterstützung. Die BIMI-Verbreitung ist groß, mehrere große Mailbox-Provider sind bereits an Bord, und nur Microsoft ignoriert den Standard komplett.
Die Grafik unten zeigt die aktuelle BIMI-Unterstützung im visuellen Überblick.
Warum ein BIMI-Eintrag wichtig ist
Auch wenn der BIMI-Eintrag ursprünglich kein klassisches Sicherheitsprotokoll wie SPF oder DMARC ist, gehört er zu den grundlegenden Ansätzen, um das E-Mail-Ökosystem zu schützen und die Vertrauenswürdigkeit und Gültigkeit des Absenders zu belegen. Als Erweiterung von DMARC und Verstärkung der E-Mail-Authentifizierung ist er aus vielen Gründen wichtig.
Erstens ist er eine weitere Sicherheitsebene, die Empfänger von böswilligen Aktivitäten fernhält und für eine sichere Verbindung sorgt, weil sie das Risiko von Phishing- und Spoofing-Angriffen minimiert. Das Beste daran: Selbst wenn die technische Seite kompromittiert ist und Mailbox-Provider das nicht bemerken, haben Nutzer noch eine Chance, böswillige Aktivitäten zu erkennen. Ein fehlendes BIMI (der Logotyp der Marke neben dem Namen des Absenders und der Betreffzeile) weckt Misstrauen bei allen, die das Branding sonst bei jeder E-Mail sehen.
Zweitens bewegt er Unternehmen dazu, Authentifizierung ernst zu nehmen. Die große Popularität und die Unterstützung durch die führenden Mailbox-Provider drängen Unternehmen dazu, SPF und DKIM und vor allem DMARC einzuführen und so ihre Authentifizierung zu stärken. Das bringt dem Unternehmen und dem E-Mail-Ökosystem zahlreiche Vorteile, hilft allen Beteiligten, böswillige Akteure effizient zu bekämpfen, und gibt Nutzern eine sichere Verbindung.
Drittens hilft er, die Logo-Darstellung für Unternehmen zu standardisieren. Unternehmen haben BIMI selbst in der Hand und steuern damit, wie ihre Nachrichten im Posteingang erscheinen. Wie bei Betreffzeile und Absendername lassen sich so Verwirrung und Frust durch automatisch generierte Icons vermeiden.
Viertens wirkt er sich positiv auf das Marketing der Marke aus. Aktuelle Studien zeigen, dass BIMI-Einträge ein Vertrauenssiegel und ein fester Bestandteil der Markenidentität sind. Regelmäßig neben der digitalen Nachricht angezeigt, stärkt er die Glaubwürdigkeit des Unternehmens, erhöht Öffnungsraten und Markenerinnerung und beeinflusst zum Teil auch Conversions. Über alle Absender hinweg, die wir testen, zeigen unsere Benchmark-Daten: Wer BIMI einsetzt, steigert die Markenwiedererkennung um 25 %, die Öffnungsrate um 18 % und den Vertrauens-Score um 32 %.
Schließlich verbessert er den Sender Score und die Reputation. Als Teil der Authentifizierungs-Familie und breit akzeptiertes Vertrauenssiegel verändert der BIMI-Eintrag Sender Score und Absender-Reputation positiv. Er lässt das Unternehmen in den Augen von Mailbox-Providern und ISPs vertrauenswürdig wirken und besteht strenge Prüfungen und Spam-Filter zuverlässig.
Wie funktioniert ein BIMI-Eintrag?
Ein BIMI-Eintrag baut auf bestehenden Authentifizierungsstandards auf, genauer gesagt auf DMARC. Er wird deshalb erst erstellt und im DNS ergänzt, wenn ein Unternehmen die Protokolle SPF, DKIM und DMARC erfolgreich umgesetzt hat.
Der Prüfprozess ist relativ überschaubar. Zuerst authentifiziert der Mailbox-Provider einen digitalen Newsletter, indem er ihn gegen die wichtigsten Sicherheitsprotokolle abgleicht.
Besteht die Nachricht diese strenge Prüfung, fragt er anschließend das DNS nach dem passenden BIMI-Eintrag ab. Er holt sich alle entscheidenden Informationen und prüft, ob sie seinen Kriterien entsprechen. Google verlangt zum Beispiel ein Verification Machine Certificate, eine kryptografische Datei, die belegt, dass das Marken-Logo dem Unternehmen gehört.
Zum Schluss ruft er die SVG-Bilddatei mit dem Marken-Logo des Unternehmens vom angegebenen Ort ab und zeigt sie nach seinen eigenen Vorgaben an.
Dieses Verfahren setzt voraus, dass bestimmte Kriterien erfüllt sind, und mehrere Dienste müssen sich abstimmen, was es schwer macht, die Authentifizierung zu kompromittieren.
Sicherheitsaspekte
Bei der Einführung des BIMI-Eintrags zählen mehrere Sicherheitsaspekte, denn der Standard ist weiterhin anfällig dafür, von böswilligen Akteuren ausgenutzt zu werden. Diese Schutzmaßnahmen musst du ergreifen:
- Sämtliche Metadaten müssen entfernt werden.
- Große Dateigrößen müssen vermieden oder minimiert werden.
- Zentrale Indikatoren müssen eine definierte Größe haben und Sicherheitsprüfungen bestehen.
- Eine ordentliche Reputation beim MTA (Message Transfer Agent) muss sichergestellt sein.
- Ein zuverlässiges Caching-System muss implementiert werden.
Wie erstellst du einen BIMI-Eintrag?
BIMI mag nur ein Eintrag mit einer kurzen Spezifikation und einem Link zu deinem Marken-Logotyp sein, aber wie alle Authentifizierungsstandards braucht er eine saubere Einrichtung. Hier ist die Schritt-für-Schritt-Anleitung, mit der du einen BIMI-Eintrag für deine Organisation erstellst.
Schritt 1: DMARC-Authentifizierung.
Da BIMI auf bestehenden Authentifizierungsprotokollen aufbaut und deren Sicherheitsmaßnahmen verstärkt, kommt es erst an die Reihe, wenn ein Unternehmen die wichtigsten Standards wie SPF, DMARC und DKIM erfolgreich eingerichtet und validiert hat.
Achte beim Erstellen von digitaler Signatur und Schlüssel für die Verschlüsselung darauf, dass dein DMARC-Eintrag diese Kriterien erfüllt, damit du dich für BIMI qualifizierst:
- Die DMARC-Policy stimmt mit der E-Mail-Domain überein.
- Die DMARC-Policy (p=) steht auf „quarantine“ (bei 100 %) oder „reject“ (bei jedem beliebigen Prozentwert)
Beachte: Die Gültigkeit von DMARC wird jedes Mal geprüft, wenn eine Nachricht beim Mailbox-Provider ankommt. Deshalb ist es entscheidend, dass alles gültig ist und korrekt funktioniert.
Schritt 2: Zertifizierung.
Diese Phase ist vielleicht eine der zeitaufwendigsten, aber sie ist entscheidend für ein solides Fundament, das alle wichtigen Anforderungen des Protokolls und der Mailbox-Provider erfüllt.
Beginne mit dem Logo. Es muss hochwertig und quadratisch sein, darf nicht mehr als 32 KB wiegen, muss im SVG-Format vorliegen und vor allem zu der Marke passen, die ein Amt für geistiges Eigentum anerkannt hat. Weitere technische Spezifikationen findest du in den Anforderungen der Mailbox-Anbieter. Beachte außerdem: Ist das Logo nicht als Marke geschützt, kann das Unternehmen ein Logo mit einem CMC verwenden.
Besorge dir anschließend ein Verified Mark Certificate. Die Stellen, die BIMI verwalten, verlangen einen Nachweis über den Domain-Besitz, den du bei DigiCert und Entrust Datacard bekommst. Dafür müssen Unternehmen das Logo und alle ihre Angaben (einschließlich Registernummer und Angaben zur Organisation) an Mark Certificate Issuers übermitteln, die:
- den Besitz der eingetragenen Marke bestätigen.
- bestätigen, dass der Inhaber einer Marke auch der Registrant der jeweiligen Domain ist
- sicherstellen, dass das Logo zur Marke passt.
Schritt 3: Daten zu deiner Domain hinzufügen.
Nachdem du deinen Besitz nachgewiesen und die Zertifikatskettendatei erhalten hast, muss diese auf einem öffentlich erreichbaren Server mit HTTPS-Protokoll liegen. Lade sie auf den öffentlichen Webserver deiner Domain hoch und kopiere den Link, denn du brauchst ihn in deinem BIMI-TXT-Eintrag.
Schritt 4: BIMI-Eintrag erstellen. Sobald deine DMARC-Authentifizierung steht und die PEM-Datei auf dem öffentlichen Server deiner Domain liegt, ist es Zeit, einen BIMI-Eintrag zu erstellen und in dein DNS aufzunehmen. Kopiere die URL der PEM-Datei und setze die richtigen Parameter des BIMI-TXT-Eintrags.
Es gibt drei Parameter: Version, Logo und Assertion.
Die Version gibt das aktuelle Protokoll an. Aktuell ist das „eins“, die Deklaration lautet also „BIMI1“.
Logo und Assertion geben eine URL zum Logotyp an. Was du einträgst, hängt davon ab, ob du die Zertifizierung erhalten hast oder nicht. Hast du eine PEM-Datei, bleibt „l“ leer und der Assertion-Parameter enthält den Link zur PEM-Datei. Nutzt du ein SVG-Logo ohne Zertifikatsdatei, entfällt der Assertion-Parameter und der Logo-Parameter enthält den Link zum Logo. Hier sind ein paar Beispiele:
v=BIMI1; l= https://unspam.email/BIMIlogo.svg;
oder
v=BIMI1;l=;a= https://unspam.email/certificate.pem
Füge danach einen TXT-Eintrag für default.bimi.DomainAddress hinzu.
Schritt 5: Testen und Fehler beheben.
Testen und Validieren sind entscheidend, damit alles korrekt funktioniert. Nutze die unten aufgeführten Dienste für einen kostenlosen BIMI-Check online und sieh nach, ob dein Eintrag den aktuellen Spezifikationen entspricht und wie vorgesehen funktioniert. Diese professionellen Werkzeuge prüfen veröffentlichte Einträge und zeigen Probleme sowie Verbesserungsmöglichkeiten auf. Sieh dir außerdem die möglichen Szenarien zur Fehlerbehebung an, die Google seinen Kunden bereitstellt.
Wie prüfst du, ob BIMI gültig ist?
Der letzte, aber nicht unwichtigste Schritt bei der Einführung von BIMI ist die Prüfung, ob der Eintrag gültig ist und die Spezifikationen und Anforderungen erfüllt. Dafür brauchst du ein professionelles Diagnose-Tool, das deinen Eintrag aus dem DNS holt, seine Einstellungen findet und dein Logo sowie dein VMC validiert, um Fehlendes aufzuspüren. Manche zeigen sogar, wie das Logo auf verschiedenen Betriebssystemen und Plattformen aussieht, und geben Empfehlungen zur Verbesserung.
Starte mit Unspam. Das Tool liefert eine umfassende technische Prüfung der E-Mail-Seite, inklusive SPF, DKIM, DMARC, Domain-Endung, Domain-Alter und List-Unsubscribe-Header. Diese Prüfung ist die Basis für eine korrekt funktionierende Authentifizierung, und die ist entscheidend dafür, dass Mailbox-Anbieter dein BIMI überhaupt berücksichtigen. Hol dir also einen vollständigen Report von Unspam, der alle möglichen Probleme aufdeckt, damit du sie sofort beseitigst.
Unspam, Spam-Check und Test-Tool für die E-Mail-Zustellbarkeit
Prüfe deinen BIMI-Eintrag danach über diese beliebten Online-Dienste:
- Unser kostenloser BIMI-Check ist ein weiteres starkes Tool, um den richtigen BIMI-Eintrag zu prüfen und zu generieren.
Gib deinen Domainnamen ein und teste, ob deine Domain die Voraussetzungen erfüllt, um einen BIMI-Eintrag anzuzeigen.
Fazit
Auch wenn Brand Indicator Messaging Identification noch am Anfang von Verbreitung und breiter Anerkennung steht, hat es sich bereits als vielversprechende Ergänzung zu den etablierten Sicherheitsprotokollen erwiesen. Wie früh es noch ist, zeigen unsere eigenen Zahlen: Von den Domains, die wir testen, veröffentlichen 99 % noch keinen BIMI-Eintrag, nur 1 % hat ihn eingeführt. BIMI baut auf der DMARC-Arbeit auf, verstärkt die Authentifizierung, liefert eine zusätzliche Schutzebene und hilft Unternehmen, böswillige Akteure proaktiv und effizient zu bekämpfen.
Aktuelle Studien zeigen, dass BIMI für ein bestimmtes Marktsegment als Vertrauenssiegel wirken kann: Es erhöht Glaubwürdigkeit, Autorität und Reputation eines Unternehmens im E-Mail-Kanal, hebt seinen Sender Score und beeinflusst Conversions und ROI positiv.
Nach und nach wird BIMI für Unternehmen entscheidend, die im E-Mail-Marketing punkten und eine starke Markenidentität im E-Mail-Kanal aufbauen wollen. Deshalb lohnt es sich, den Standard in deinen E-Mail-Alltag aufzunehmen.
