BIMI in Deutschland: Wer nutzt das E-Mail-Logo schon?

Wer nach „BIMI E-Mail Deutschland“ sucht, hat wahrscheinlich schon einmal ein Logo neben einer Absenderadresse in Gmail gesehen und sich gefragt, wie man das für die eigene Marke hinbekommt. Die kurze Antwort: technisch ist es machbar, aber die Hürde liegt nicht im BIMI-Eintrag selbst, sondern in dem, was vorher stehen muss – eine strenge DMARC-Policy. Genau daran scheitern die meisten deutschen Unternehmen, die es versuchen.

Was ist BIMI genau?

BIMI steht für Brand Indicators for Message Identification. Es ist ein offener Standard, mit dem Absender ihr Markenlogo als kleines Bild im Posteingang ausliefern – dort, wo sonst nur ein grauer Avatar-Kreis mit dem Anfangsbuchstaben steht. Unterstützt wird BIMI unter anderem von Gmail, Yahoo und einigen weiteren großen Mailboxanbietern; die Unterstützung bei klassischen deutschen Postfächern wie GMX, Web.de oder T-Online ist uneinheitlich und entwickelt sich laufend, weshalb sich ein Blick auf die eigenen Empfänger-Provider lohnt.

Technisch ist BIMI ein zusätzlicher TXT-Eintrag im DNS, der auf eine SVG-Datei mit dem Logo verweist. Der Eintrag wird nur ausgewertet, wenn die E-Mail-Authentifizierung der Domain bereits stimmt.

Voraussetzung: DMARC auf Quarantine oder Reject

Der entscheidende Punkt, den viele übersehen: BIMI funktioniert nicht beip=none. Die Mailboxanbieter verlangen mindestensp=quarantine, oft explizit p=reject, bevor sie das Logo überhaupt anzeigen. Das ist auch inhaltlich logisch – ein Logo neben der Absenderadresse soll signalisieren „diese Nachricht ist garantiert echt“, und das kann eine Domain nur versprechen, wenn sie unauthentifizierte Nachrichten aktiv abweist statt sie einfach durchzuwinken.

Genau hier liegt der Grund, warum BIMI in Deutschland noch selten ist: Der Weg vonp=none zu p=reject dauert, weil man vorher alle legitimen Versandquellen der Domain identifizieren muss – Newsletter-Tool, CRM, Rechnungsversand, Support-System, oft auch externe Agenturen. Ein voreiliger Sprung auf Reject ohne vollständige Inventur blockiert im schlimmsten Fall die eigene Rechnungsmail.

Wie verbreitet ist BIMI bei deutschen Domains wirklich?

Belastbare, laufend aktualisierte Zahlen dazu liefert der wöchentliche Scan auf /email-stats/, der SPF-, DKIM-, DMARC-, BIMI- und MTA-STS-Adoption über eine große Domain-Stichprobe erfasst. Ohne auf einzelne Prozentwerte festzunageln, zeichnet sich dort ein klares Muster ab: BIMI-Records liegen deutlich unter der DMARC-Adoption, und DMARC-Adoption liegt wiederum deutlich unter SPF/DKIM-Adoption. Jede Stufe filtert weiter aus.

Das erklärt auch, warum das Logo im Posteingang noch fast ein Alleinstellungsmerkmal ist: Wer es zeigt, hat sichtbar eine strengere Sicherheitsstufe erreicht als der Durchschnitt der eigenen Branche.

Wie sieht der BIMI-Eintrag im DNS aus?

Der BIMI-Record liegt unter einem festen Selector-Namen und verweist auf ein SVG-Logo – optional ergänzt um ein Zertifikat, das die Markenrechte belegt.

Das Zertifikat: VMC oder CMC

Für Gmail reicht ein reiner BIMI-Record ohne Zertifikat inzwischen meist nicht mehr aus – verlangt wird ein Verified Mark Certificate (VMC), das die Markenrechte am Logo bei einer anerkannten Zertifizierungsstelle nachweist. Für Unternehmen ohne eingetragene Wortbildmarke gibt es die abgespeckte Variante Common Mark Certificate (CMC). Beides ist mit Aufwand verbunden – ein weiterer Grund, warum sich viele kleinere deutsche Absender die Mühe erst machen, wenn DMARC ohnehin schon auf Reject steht und das Thema E-Mail-Authentifizierung strategisch verankert ist, statt einmalig abgehakt zu werden.

Lohnt sich BIMI für deutsche Unternehmen?

• Für Massenversender mit hohem Gmail-Anteil im Empfängerkreis (B2C-Newsletter, Onlineshops) bringt ein sichtbares Logo messbar mehr Vertrauen und potenziell bessere Öffnungsraten.
• Für B2B-Absender mit vielen Empfängern bei GMX, Web.de oder T-Online ist der Effekt begrenzter, weil dort die BIMI-Unterstützung uneinheitlich ist – die DMARC-Härtung selbst bleibt trotzdem sinnvoll, unabhängig vom Logo.
• Für Domains, die aktuell noch bei p=none stehen, ist BIMI kein Startpunkt, sondern ein Ziel am Ende des Weges. Zuerst zählt jede Versandquelle sauber unter SPF/DKIM erfassen, danach schrittweise auf Quarantine, dann Reject stellen.

So testet ihr den eigenen Stand

1. E-Mail von jeder Versandquelle (Newsletter-Tool, CRM, Shop-System, transaktionale Mails) an einen kostenlosen Inbox-Test schicken und prüfen, ob SPF und DKIM überall aligned durchlaufen.
2. DMARC-Report auswerten, um unbekannte oder nicht autorisierte Versandquellen zu finden.
3. DMARC-Policy schrittweise von p=none über p=quarantine zu p=reject anheben.
4. Erst danach den BIMI-Record und ggf. das VMC einrichten.
5. Regelmäßig nachprüfen, denn Adoption bei Providern und die eigene Versandinfrastruktur ändern sich.

Wie viele Domains in Deutschland diesen Weg schon gegangen sind, lässt sich laufend auf /email-stats/ nachvollziehen – der Datensatz wird wöchentlich aktualisiert.