Stand: Juli 2026

Zusammenfassung: BIMI zeigt dein Markenlogo neben deinen E-Mails im Postfach des Empfängers. Nach dieser Anleitung veröffentlichst du bei IONOS den nötigen default._bimi-TXT-Record — und weißt, welche Voraussetzungen (DMARC, SVG, Zertifikat) wirklich die Arbeit sind.

Voraussetzungen

  • Eine Domain bei IONOS mit Zugriff auf die DNS-Einstellungen
  • DMARC at enforcement (p=quarantine oder p=reject) — siehe unten
  • Dein Logo als SVG Tiny PS und (für Gmail & Co.) ein VMC

Was ist BIMI?

BIMI (Brand Indicators for Message Identification) ist ein TXT-Record im DNS, der auf dein Markenlogo verweist. Unterstützende Postfächer — Gmail, Apple Mail, Yahoo — zeigen dieses Logo dann neben deinen authentifizierten E-Mails an. BIMI ist damit kein neues Sicherheitsverfahren, sondern die sichtbare Belohnung für sauber umgesetztes SPF, DKIM und vor allem DMARC.

Wichtig ist die Reihenfolge: BIMI ist der letzte Schritt. Ohne die darunterliegende Authentifizierung passiert nichts.

Die eigentliche Arbeit steckt nicht im DNS-Record

Der TXT-Record selbst ist bei jedem Anbieter identisch und in zwei Minuten eingetragen. Die Voraussetzungen sind der Aufwand — und die dokumentiert die BIMI Group klar:

  1. DMARC at enforcement. Deine DMARC-Policy muss auf Durchsetzung stehen — konkret „be at enforcement on the organizational domain and subdomains”. Ein p=none oder ein pct unter 100 wird nicht akzeptiert. Wenn du bei IONOS noch kein DMARC hast oder noch auf p=none stehst, arbeite zuerst die DMARC-Anleitung für IONOS durch und ziehe die Policy schrittweise auf quarantine oder reject an.
  2. SVG-Logo. Dein Logo muss als SVG Tiny PS vorliegen (ein spezielles, abgespecktes SVG-Profil) — quadratisch und über HTTPS erreichbar.
  3. VMC oder CMC. Ein Verified Mark Certificate (für eingetragene Marken) oder Common Mark Certificate ist laut BIMI Group „highly recommended, but Optional” — technisch. In der Praxis aber verlangen Gmail, Apple Mail und Yahoo inzwischen ein solches Zertifikat, damit das Logo tatsächlich angezeigt wird. Self-Asserted-BIMI ohne Zertifikat hat „limited support across the various Mailbox Providers”.

Schritt-für-Schritt-Anleitung

1. Voraussetzungen abhaken

Prüfe zuerst mit dem kostenlosen MXAudit-Scanner, ob SPF, DKIM und DMARC sauber und DMARC auf quarantine/reject steht. Ohne das ist der Rest vergeblich.

2. Logo als SVG Tiny PS bereitstellen

Konvertiere dein Logo ins SVG-Tiny-PS-Profil und lade es auf einen HTTPS-Server (z. B. deinen IONOS-Webspace). Notiere die vollständige HTTPS-URL, etwa https://beispiel.de/logo.svg.

3. (Empfohlen) VMC/CMC beschaffen

Ein VMC/CMC bekommst du bei einer Mark Verifying Authority (z. B. DigiCert oder Entrust). Du erhältst eine .pem-Datei, die du ebenfalls über HTTPS bereitstellst.

4. Den BIMI-TXT-Record bei IONOS anlegen

Öffne die DNS-Einstellungen deiner Domain im IONOS Konto (wie beim SPF-Record: Menü → Domains & SSL → drei Punkte → DNS) und lege einen TXT-Record an:

  • Hostname: default._bimi
  • Typ: TXT
  • Wert: v=BIMI1; l=https://beispiel.de/logo.svg; a=https://beispiel.de/vmc.pem

Das Grundschema laut BIMI Group: default._bimi.[domain] IN TXT "v=BIMI1; l=[SVG URL]; a=[PEM URL]". Hast du (noch) kein Zertifikat, lässt du das a=-Tag weg — es ist „currently optional”.

Zum Vergleich ein echter, produktiver Record — so sieht BIMI bei cnn.com aus:

v=BIMI1; l=https://amplify.valimail.com/bimi/time-warner/…cable_news_network_inc_….svg; a=https://amplify.valimail.com/bimi/time-warner/…_….pem

5. Warten und prüfen

DNS-Änderungen brauchen einige Stunden. Danach prüfst du den Record mit dem MXAudit-Scanner oder dem BIMI Inspector der BIMI Group.

Häufige Fehler

BIMI ohne DMARC-Enforcement. Der mit Abstand häufigste Fehler: Record gesetzt, aber DMARC steht auf p=none. Dann zeigt kein Postfach das Logo. quarantine oder reject ist Pflicht.

Falsches SVG-Format. Ein normales SVG reicht nicht — es muss das Profil SVG Tiny PS sein, quadratisch. Andere Formate werden abgelehnt.

Kein VMC, trotzdem Gmail-Anzeige erwartet. Ohne VMC/CMC bleibt das Logo bei den großen Anbietern meist unsichtbar. Für ernsthafte Nutzung führt am Zertifikat kaum ein Weg vorbei.

Logo nicht über HTTPS erreichbar. l= und a= müssen auf öffentlich per HTTPS abrufbare Dateien zeigen — HTTP oder ein interner Pfad funktionieren nicht.