Dieser kostenlose BIMI-Check liest den default._bimi-Record Ihrer Domain und zeigt Ihnen, ob er darauf ausgelegt ist, Ihr Marken-Logo in den Posteingang zu bringen: die l=-Logo-URL, das optionale a=-Verified-Mark-Certificate, das neue avp=-Avatar-Preference-Tag und – am wichtigsten – ob Ihre DMARC-Policy durchgesetzt ist, denn ohne sie zeigt kein Mailbox-Anbieter das Logo an. Jetzt Domain prüfen → Noch keinen Record? Der kostenlose BIMI-Generator erzeugt ihn samt neuem avp-Tag.
BIMI (Brand Indicators for Message Identification, spezifiziert von der AuthIndicators Working Group) erlaubt es Ihnen, Ihr Logo im DNS zu veröffentlichen, damit teilnehmende Mailboxen – Gmail, Apple Mail, Yahoo und andere – es neben Ihren Nachrichten anzeigen können. Der Scanner fragt den TXT-Record unter default._bimi.<domain> ab, prüft, ob er mit v=BIMI1 beginnt, und wertet jedes Tag aus:
Ein minimaler Record sieht so aus:
default._bimi.example.com. IN TXT "v=BIMI1; l=https://example.com/logo.svg; a=https://example.com/vmc.pem"Der Scanner gibt die Logo-URL sowie ein gefundenes VMC oder eine avp-Präferenz aus. BIMI gilt als informativ, wenn es korrekt eingerichtet ist: Ein gut konfigurierter Record erhält eine positive Notiz, ohne den Score aufzublähen, und ein fehlender Record wird nie bestraft. Zur Warnung wird er, sobald er funktionieren könnte, sich aber nicht verifizieren lässt: Logo nicht abrufbar, SVG mit aktivem Inhalt oder ohne SVG-Tiny-P/S-Angabe, ein Mark-Zertifikat, das fehlt, nicht https ist, nicht erreichbar, nicht lesbar, abgelaufen oder nicht von einer gelisteten Mark Verifying Authority stammt, ein ausgeliefertes Logo, das vom hinterlegten abweicht, oder ein ungültiger avp=-Wert. Zum Fehler wird er, wenn der Record überhaupt nichts anzeigen kann: eine l=-URL, die nicht https ist, mehr als ein v=BIMI1-Record, ein fehlendes l=-Tag oder ein leeres l= neben einem Mark-Zertifikat. Ein ausdrücklicher Verzicht – v=BIMI1; l=; a=; – ist eine gültige Konfiguration und wird nur vermerkt, nie abgewertet. Die einzige Ausnahme von der Gewicht-null-Regel ist ein BIMI-Record, der veröffentlicht wird, während DMARC noch nicht durchgesetzt ist – ihn markiert der Scanner als Warnung (siehe unten).
Das l=-Tag muss auf eine https://-URL zeigen, die ein Bild im Profil SVG Tiny Portable/Secure (SVG P/S) ausliefert. Das ist ein bewusst abgesichertes Profil von SVG Tiny 1.2: keine Skripte, keine externen Referenzen, keine Animationen und eine feste viewBox, damit die Datei weder zum Angriffsvektor wird noch Tracking nachlädt. Mailbox-Anbieter erwarten zusätzlich ein quadratisches Logo, das auch in kleiner Darstellung sauber wirkt – üblicherweise mit einem gefüllten Hintergrund statt Transparenz.
Der Check liest nicht nur das l=-Tag: Er lädt die Datei über HTTPS – bis 64 KB; eine größere Datei wird als über der Ladegrenze dieser Prüfung gemeldet und nicht analysiert – nicht als Logo, das sich nicht laden ließe – und sieht sie sich an: ob ein vollständiges SVG ankommt, ob es aktiven Inhalt enthält (script, foreignObject, javascript:-URLs oder Inline-Event-Handler) und ob es das SVG-Tiny-P/S-Profil ausweist (baseProfile="tiny-ps"), das Gmail und Apple Mail verlangen. Er prüft nicht jede Regel dieses Profils, und er kodiert oder zeichnet Ihre Grafik nicht neu – eine normale SVG oder ein Raster-Logo in eine konforme SVG-P/S-Datei zu überführen, ist eine einmalige Design-Aufgabe. Wenn Sie noch keine konforme Datei haben, hilft Ihnen der BIMI-Generator, den Record darum herum zusammenzustellen, sobald die SVG fertig ist.
Das optionale a=-Tag verweist auf ein Verified Mark Certificate (VMC) – ein X.509-Zertifikat, das als PEM-Datei über HTTPS ausgeliefert wird und Ihr Logo an eine von Ihnen eingetragene Marke bindet. Gmail und Apple Mail zeigen Ihr Logo nur, wenn der Record ein Mark-Zertifikat trägt; Yahoo zeigt es auch ohne. Die beiden Zertifikatstypen sind nicht austauschbar. Ein Verified Mark Certificate (VMC) setzt eine eingetragene Marke voraus, wird von Gmail und Apple Mail akzeptiert und schaltet als einziges den Verifiziert-Haken in Gmail frei. Ein Common Mark Certificate (CMC) steht auch Absendern ohne Marke offen und bringt das Logo in Gmail zur Anzeige – aber ohne Haken, und Apple Mail akzeptiert es nicht. Der Scanner bleibt nicht beim Tag stehen: Ist die Logo-URL https, holt er das PEM über HTTPS und prüft das Zertifikat selbst – die BIMI-Erweiterung „Extended Key Usage“ (id-kp-BrandIndicatorforMessageIdentification, OID 1.3.6.1.5.5.7.3.31), die die Mark Certificate Guidelines von einem VMC und einem CMC gleichermaßen verlangen, den Gültigkeitszeitraum, ob die Kette bei einer der von der BIMI Group gelisteten Mark-Verifying-Authority-Roots endet (DigiCert, GlobalSign, SSL.com – ein eigener, von der Web-PKI getrennter Satz), und ob das ausgelieferte Logo Byte für Byte das Bild ist, das die CA im Zertifikat hinterlegt hat (Logotype-Extension, RFC 9399, Nachfolger von RFC 3709). Scheitert unser eigener Abruf, sagt der Bericht das, statt Ihren Record zu beschuldigen. Was er nicht prüfen kann, ist der Markenstatus hinter dem Zertifikat – das ist Aufgabe der Zertifizierungsstelle, und Sie können das PEM direkt einsehen.
Das avp=-Tag ist eine neuere Ergänzung der BIMI-Spezifikation. Sein Wert ist case-sensitiv: avp=brand ist die Vorgabe und bittet Anbieter, Ihr Marken-Logo zu bevorzugen, während avp=personal sie bittet, den persönlichen Avatar des einzelnen Absenders (etwa ein Profilfoto) gegenüber dem Logo zu bevorzugen. Der Scanner liest die Präferenz aus und zeigt sie an; jeder Wert außer personal oder brand wird als ungültig markiert; Empfänger ignorieren ihn, und ein Mailbox-Anbieter darf einen ungültigen Wert zusätzlich wie einen fehlerhaften Record behandeln – dann erscheint gar kein Logo.
BIMI funktioniert nur auf einer starken Authentifizierungsbasis. Ein Logo wird nur angezeigt, wenn Ihre DMARC-Policy durchgesetzt ist – also p=quarantine oder p=reject, ohne Test-Flag t=y und mit einer Subdomain-Policy sp, die nicht none ist. Bei p=none ist der Record zwar gültig, aber rein beobachtend, und kein Anbieter stellt das Logo dar.
Das pct-Tag ist ein eigener Fall, und die Quellen widersprechen sich dabei. Der BIMI-Entwurf verlangt pct=100 nur dort, wo die Policy p=quarantine lautet; bei p=reject akzeptiert er den Record „mit jedem Prozentwert“. Der Implementierungsleitfaden der BIMI Group macht diesen Unterschied nicht und hält fest, dass ein pct unter 100 gar nicht akzeptiert wird. Dieser Scanner folgt der strengeren Variante und wertet jedes pct unter 100 als blockierend – weil die beiden Irrtümer unterschiedlich teuer sind. Das Tag zu entfernen ist nicht gratis: Empfänger auf aktuellem Stand ignorieren pct zwar bereits, Empfänger auf RFC-7489-Stand wenden Ihre Policy aber nur auf einen Teil Ihrer Mail an, und mit dem Löschen gehen sie auf volle Durchsetzung — vorher also jeden Versandweg ausrichten. Das ist Arbeit, die ohnehin ansteht; ein Logo, das nie erscheint, hat dagegen schon ein Zertifikat gekostet.
Deshalb gleicht der Scanner Ihren BIMI-Record mit Ihrer aktiven DMARC-Policy ab. Ist BIMI veröffentlicht, DMARC aber nicht durchgesetzt, gibt er eine Warnung aus, dass der Record derzeit wirkungslos ist – mit dem genauen Grund. Ist DMARC durchgesetzt und ein Logo vorhanden, fällt der BIMI-Befund positiv aus. Die praktische Reihenfolge ist immer dieselbe: zuerst DMARC mit voller Abdeckung auf p=quarantine oder p=reject bringen, dann den BIMI-Record veröffentlichen und, wenn Sie das Verifiziert-Abzeichen wollen, das VMC ergänzen. Wenn Sie noch dabei sind, dorthin zu kommen: Die DMARC-Referenz geht den Rollout, die Tags und die Reports im Detail durch.
Der häufigste Grund ist DMARC. BIMI zeigt das Logo nur an, wenn Ihre DMARC-Policy durchgesetzt ist – p=quarantine oder p=reject, angewandt auf die gesamte Post, ohne t=y und mit sp ungleich none. Bei p=none lässt sich der Record zwar einlesen, aber kein Mailbox-Anbieter stellt das Logo dar. Bringen Sie DMARC zuerst zur Durchsetzung und testen Sie dann erneut.
Nicht bei jedem Anbieter. Ein BIMI-Record mit nur einer l=-Logo-URL und durchgesetztem DMARC reicht bei manchen Posteingängen aus, damit Ihr Logo erscheint. Gmail und Apple Mail zeigen das Logo nur mit Mark-Zertifikat; ein VMC setzt eine eingetragene Marke voraus und schaltet als einziges den Verifiziert-Haken in Gmail frei, ein CMC bringt das Logo in Gmail ohne Haken und wird von Apple Mail nicht akzeptiert. Der kostenlose Check lädt das Zertifikat, prüft die BIMI-Erweiterung „Extended Key Usage“ (id-kp-BrandIndicatorforMessageIdentification), die beide Zertifikatstypen tragen, und die Gültigkeit, ob die Kette bei einer gelisteten Mark Verifying Authority endet, und vergleicht Ihr ausgeliefertes Logo mit dem im Zertifikat hinterlegten Bild.
avp ist das Avatar-Preference-Tag. avp=brand ist die Vorgabe und bittet Anbieter, Ihr Marken-Logo zu bevorzugen, während avp=personal sie bittet, den persönlichen Avatar des einzelnen Absenders gegenüber dem Logo zu bevorzugen. Der Wert ist case-sensitiv, und alles außer personal oder brand wird wie brand behandelt. Der Check liest diese Präferenz aus und zeigt sie im Ergebnis an.
BIMI Group ↗ · draft-brand-indicators-for-message-identification (BIMI-Spezifikation) ↗ · RFC 9989 (DMARC) ↗
← Alle Sicherheitstests nach Thema · Kompletten Domain-Sicherheitscheck starten