VMC- und CMC-Zertifikat für BIMI: auswählen, kaufen und deployen

⚡TL;DR

• VMC für eingetragene Marken (blaues Gmail-Checkmark, Logo in Apple Mail), CMC für Unternehmen ohne eingetragene Marke (Gmail-Logo ohne Checkmark)
• Jährliche Preise: VMC von 749 bis 1688 $, CMC von 650 bis 1100 $, zuzüglich der Kosten für die Markeneintragung beim VMC
• Fünf Zertifizierungsstellen bieten BIMI-Zertifikate an: DigiCert, Entrust, Sectigo, GlobalSign und SSL.com
• CaptainDNS hostet Ihr VMC- oder CMC-Zertifikat kostenlos mit automatischer Metadaten-Extraktion und Ablaufwarnungen

Laut einer URIports-Analyse von 2025 enthalten 53,6 % der BIMI-Records mindestens einen Fehler. Mehr als die Hälfte der Domains, die versuchen ihr Logo im Posteingang anzuzeigen, scheitern. Und in der Mehrheit der Fälle blockiert weder das DNS noch das Logo-Format: Es ist das Zertifikat. Der falsche Zertifikatstyp, ein schlecht vorbereiteter Validierungsprozess, eine fehlerhaft gehostete PEM-Datei, eine unpassende eingetragene Marke. Das Zertifikat ist der Hauptreibungspunkt beim BIMI-Deployment.

Das Ökosystem hat sich jedoch weiterentwickelt. Seit September 2024 akzeptiert Gmail neben VMC (Verified Mark Certificates) auch CMC (Common Mark Certificates). Apple Mail verlangt weiterhin ein VMC. Yahoo Mail zeigt das Logo ganz ohne Zertifikat an. Drei große Anbieter, drei verschiedene Anforderungsstufen. Für technische Teams, die BIMI deployen wollen, lautet die erste Frage nicht mehr "Brauche ich ein Zertifikat?", sondern "Welches, bei wem, zu welchem Preis, und wie deploye ich es korrekt?".

Dieser Leitfaden beantwortet diese Fragen. Er deckt den gesamten Weg ab, von der Wahl zwischen VMC und CMC bis zum sichtbaren Checkmark in Gmail: objektiver Vergleich der fünf Zertifizierungsstellen mit realen Preisen, detaillierte technische Voraussetzungen, Validierungsprozess Schritt für Schritt, Hosting der PEM-Zertifikatsdatei und DNS-Deployment. Jeder Abschnitt ist darauf ausgelegt, Ihnen Zeit zu sparen und Fehler zu vermeiden, die die Produktivsetzung um Wochen verzögern.

VMC oder CMC: Welches BIMI-Zertifikat wählen?

Die Wahl zwischen VMC und CMC bestimmt alles Weitere: das Budget, die vorzubereitenden Unterlagen, die Beschaffungsdauer und die verfügbaren Funktionen bei jedem E-Mail-Anbieter. Bevor Sie eine Zertifizierungsstelle kontaktieren, müssen drei Fragen beantwortet werden.

Drei Fragen zur Entscheidung

1. Ist Ihr Logo mit einer eingetragenen Marke verbunden?

Wenn Ihr Logo als Bildmarke bei einem anerkannten Amt (DPMA, EUIPO, USPTO, WIPO usw.) eingetragen ist, können Sie ein VMC beantragen. Wenn Sie keine eingetragene Marke haben oder Ihre Marke rein verbal ist (Text ohne grafisches Element), ist das CMC Ihre einzige Option. Es gibt keine Abkürzung: Ohne eingetragene Bildmarke stellt keine Zertifizierungsstelle ein VMC aus.

2. Benötigen Sie das blaue Checkmark in Gmail?

Das blaue Checkmark (das blaue Häkchen neben dem Absendernamen in Gmail) ist dem VMC vorbehalten. Ein CMC zeigt das Logo in Gmail an, jedoch ohne diesen visuellen Indikator. Wenn das Checkmark ein strategisches Ziel für Ihre Marke ist (Empfängervertrauen, Abgrenzung gegen Phishing), ist das VMC unverzichtbar. Wenn die reine Logo-Anzeige genügt, erfüllt das CMC seinen Zweck.

3. Welches Budget können Sie aufwenden?

Das VMC kostet zwischen 749 und 1688 $ pro Jahr je nach Zertifizierungsstelle. Das CMC kostet zwischen 650 und 1100 $ pro Jahr. Aber das VMC bringt einen oft unterschätzten Zusatzkostenfaktor mit sich: die eingetragene Marke selbst. Eine Anmeldung beim DPMA kostet etwa 290 Euro für 10 Jahre (eine Klasse), eine Anmeldung beim EUIPO etwa 850 Euro. Wenn Sie noch keine eingetragene Marke haben, addieren Sie diesen Betrag zum VMC-Budget, ebenso wie die mehrmonatige Wartezeit für die Eintragung.

Schnellvergleich VMC vs CMC

Kriterium	VMC	CMC
Eingetragene Marke erforderlich	Ja (Bildmarke, aktiv)	Nein
Gmail: Logo-Anzeige	Ja	Ja
Gmail: blaues Checkmark	Ja	Nein
Apple Mail: Logo-Anzeige	Ja	Nein
Yahoo Mail: Logo-Anzeige	Nicht erforderlich (selbstdeklariert genügt)	Nicht erforderlich
Jährlicher Zertifikatspreis	749-1688 $	650-1100 $
Typische Beschaffungsdauer	2-6 Wochen	1-4 Wochen
Erforderlicher Nachweis	Eingetragene Marke + Organisationsdokumente	Logo-Nutzung seit 12 Monaten + Organisationsdokumente

Die Wahl läuft auf eine strategische Entscheidung hinaus. Das VMC bietet das höchste Vertrauensniveau (Gmail-Checkmark, Apple-Mail-Kompatibilität) zum Preis einer eingetragenen Marke und eines höheren Budgets. Das CMC demokratisiert den Zugang zu BIMI für Organisationen ohne eingetragene Marke, mit schnellerem und günstigerem Deployment.

Für einen detaillierten Vergleich der technischen Unterschiede und der Kompatibilität je E-Mail-Anbieter lesen Sie den Leitfaden VMC, CMC und DNS-Kompatibilität in der Rubrik Verwandte Leitfäden am Ende des Artikels.

Die fünf BIMI-Zertifizierungsstellen im Vergleich

Fünf Zertifizierungsstellen (CAs) stellen BIMI-Zertifikate aus. Ihre Validierungsprozesse sind ähnlich (alle folgen den Anforderungen der BIMI Group), aber Preise, Fristen und Zusatzservices unterscheiden sich erheblich. Ein objektiver Vergleich dieser fünf CAs existierte bislang nicht. Hier die konsolidierten Daten.

DigiCert

DigiCert ist der historische Marktführer bei BIMI-Zertifikaten. Es war die erste CA, die VMCs bei der Einführung von BIMI angeboten hat, und verfügt über die größte installierte Basis.

VMC: circa 1499 $ pro Jahr zum Direktpreis. Einige autorisierte Reseller bieten leicht günstigere Preise. DigiCert berechnet das Zertifikat pro Domain: ein Zertifikat pro Absender-Domain.

CMC: circa 1099 $ pro Jahr. Das CMC ist seit Ende 2024 bei DigiCert verfügbar, im Zuge der Gmail-Ankündigung.

Validierungsprozess: vollständige Organisationsvalidierung (OV), Prüfung der eingetragenen Marke (VMC) oder des Nutzungsnachweises (CMC), Domain-Kontrolle (DNS TXT oder E-Mail), Einreichung und Validierung des SVG-Logos im Tiny-PS-Format. DigiCert verfügt über ein dediziertes Validierungsteam für BIMI-Anträge.

PEM-Hosting inklusive: nein. Der Kunde muss die PEM-Datei auf einem eigenen Server oder über einen Drittanbieter hosten.

Frist: 2 bis 4 Wochen für ein VMC (die Markenprüfung ist der längste Schritt), 1 bis 3 Wochen für ein CMC.

Stärken: bewährte Erfahrung (erster VMC-Aussteller), umfangreiche Dokumentation, reaktionsschneller technischer Support, großes Reseller-Netzwerk. DigiCert ist die Standardwahl für Großunternehmen und Organisationen, die Prozesszuverlässigkeit priorisieren.

Entrust

Entrust ist ein bedeutender Akteur im Bereich digitaler Zertifikate, mit starker Präsenz in den Sektoren Banken, Regierung und Unternehmen. Die BIMI-Lösung fügt sich natürlich in das Portfolio aus TLS-Zertifikaten und Code-Signing ein.

VMC: circa 1499 $ pro Jahr. Die Preispositionierung ist an DigiCert angeglichen.

CMC: circa 1099 $ pro Jahr.

Validierungsprozess: ähnlich wie DigiCert. Organisationsvalidierung, Markenprüfung (VMC) oder Nutzungsnachweis (CMC), Domain-Verifizierung, Logo-SVG-Validierung. Entrust stützt sich auf bestehende Validierungsteams, was den Prozess für Kunden beschleunigen kann, die bereits Entrust-Zertifikate haben (die Organisationsvalidierung ist manchmal wiederverwendbar).

PEM-Hosting inklusive: nein.

Frist: 2 bis 4 Wochen für ein VMC, 1 bis 3 Wochen für ein CMC. Bestandskunden mit einer aktuellen Organisationsvalidierung können von verkürzten Fristen profitieren.

Stärken: starke Unternehmenspräsenz, Integration mit bestehenden Entrust-Lösungen (verwaltete PKI, TLS-Zertifikate), bewährter Validierungsprozess für große Organisationen. Wenn Ihr Unternehmen bereits Entrust für TLS-Zertifikate oder PKI nutzt, fügt sich das VMC/CMC in denselben Beschaffungsworkflow ein.

Sectigo

Sectigo (ehemals Comodo CA) positioniert sich im Preissegment mit den günstigsten BIMI-Zertifikaten auf dem Markt. Sectigo vertreibt hauptsächlich über ein umfangreiches Reseller-Netzwerk (SSL Store, GoGetSSL, SSLs.com, unter anderem), was einen starken Preiswettbewerb erzeugt.

VMC: circa 749 $ pro Jahr über die günstigsten Reseller. Der Preis kann je nach Reseller und laufenden Aktionen zwischen 749 und 999 $ variieren. Der Sectigo-Direktpreis liegt etwas höher.

CMC: circa 649 $ pro Jahr über Reseller. Das ist der niedrigste Einstiegspreis auf dem Markt für ein BIMI-Zertifikat.

Validierungsprozess: Standard-OV-Validierung, Markenprüfung (VMC) oder Nutzungsnachweis (CMC), Domain-Verifizierung, SVG-Validierung. Der Prozess ist im Wesentlichen identisch mit DigiCert und Entrust, mit denselben Dokumentationsanforderungen (alle CAs folgen denselben Mark Certificate Requirements der BIMI Group).

PEM-Hosting inklusive: nein.

Frist: 1 bis 3 Wochen für ein VMC, 1 bis 2 Wochen für ein CMC. Sectigo ist in der Regel schneller als DigiCert und Entrust bei den Validierungsfristen, teilweise weil die Anträge von spezialisierten Teams für Markenzertifikate bearbeitet werden.

Stärken: niedrigste Marktpreise, großes Reseller-Netzwerk (einfacher Einkauf), wettbewerbsfähige Validierungsfristen. Sectigo ist die natürliche Wahl für budgetsensible Organisationen, die ein VMC oder CMC ohne den DigiCert/Entrust-Aufpreis wollen.

Hinweis: der technische Support variiert stark je nach Reseller. Manche Reseller bieten minimale Begleitung, was den Prozess für Teams erschweren kann, die BIMI zum ersten Mal einführen. Wählen Sie einen Reseller mit dediziertem Support, wenn es Ihr erstes BIMI-Zertifikat ist.

GlobalSign

GlobalSign ist eine internationale CA mit starker Präsenz in Europa und Asien. Das BIMI-Angebot ist jünger als das von DigiCert oder Entrust, deckt aber beide Zertifikatstypen ab.

VMC: circa 1299 $ pro Jahr. Die Preispositionierung liegt zwischen Sectigo und dem Duo DigiCert/Entrust.

CMC: circa 999 $ pro Jahr.

Validierungsprozess: Standard BIMI Group. Organisationsvalidierung, Marken- oder Nutzungsprüfung, Domain-Verifizierung, SVG-Validierung. GlobalSign verfügt über eine internationale Validierungsinfrastruktur, die für länderübergreifende Organisationen ein Vorteil sein kann.

PEM-Hosting inklusive: nein.

Frist: 2 bis 4 Wochen für ein VMC, 1 bis 3 Wochen für ein CMC.

Stärken: internationale Präsenz (Büros in Europa, Asien, Amerika), mehrsprachiger Support, Erfahrung mit der Organisationsvalidierung für nicht-amerikanische Unternehmen. Wenn Ihre Organisation außerhalb der USA sitzt und Schwierigkeiten bei der Validierung durch amerikanische CAs hat, kann GlobalSign einen reibungsloseren Prozess bieten.

SSL.com

SSL.com ist ein kleinerer Akteur, der sein Angebot auf BIMI-Zertifikate ausgeweitet hat. Die CA bietet VMC und CMC an, hauptsächlich über ihre Direktkanäle und einige Partner-Reseller.

VMC: circa 999 $ pro Jahr zum Direktpreis, mit Preisen bis zu 749 $ über bestimmte Reseller.

CMC: circa 749 $ pro Jahr.

Validierungsprozess: Standard BIMI Group, ähnlich wie die anderen CAs.

PEM-Hosting inklusive: nein.

Frist: 2 bis 3 Wochen für ein VMC, 1 bis 2 Wochen für ein CMC.

Stärken: wettbewerbsfähige Preise (nahe an Sectigo), einfache und intuitive Zertifikatsverwaltungsoberfläche, zugänglicher technischer Support. SSL.com ist eine tragfähige Alternative für Organisationen, die ein gutes Preis-Leistungs-Verhältnis suchen, ohne über das Sectigo-Reseller-Netzwerk zu gehen.

Vergleichstabelle der fünf CAs

CA	VMC ($/Jahr)	CMC ($/Jahr)	Frist VMC	Frist CMC	PEM-Hosting
DigiCert	~1499	~1099	2-4 Wo.	1-3 Wo.	Nein
Entrust	~1499	~1099	2-4 Wo.	1-3 Wo.	Nein
Sectigo	~749	~649	1-3 Wo.	1-2 Wo.	Nein
GlobalSign	~1299	~999	2-4 Wo.	1-3 Wo.	Nein
SSL.com	~999	~749	2-3 Wo.	1-2 Wo.	Nein

Wichtiger Hinweis: Die angegebenen Preise sind Richtwerte (Stand: Q1 2026) und variieren je nach Reseller, Volumen und laufenden Aktionen. Prüfen Sie stets die aktuellen Tarife direkt bei der CA oder ihren autorisierten Resellern. Die Preise ändern sich regelmäßig, insbesondere bei CMCs, deren Markt sich noch im Aufbau befindet.

Welche CA für welches Profil? Budgetorientierte Organisationen greifen zu Sectigo (niedrigste Marktpreise). Großunternehmen, die Prozesssicherheit und dedizierten Support priorisieren, setzen auf DigiCert oder Entrust. Europäische Unternehmen mit komplexen Validierungsanforderungen profitieren von GlobalSigns internationaler Infrastruktur. SSL.com positioniert sich als Mittelweg zwischen Preis und Komfort.

Zwei Erkenntnisse ergeben sich aus diesem Vergleich. Erstens bietet keine CA das Hosting der PEM-Datei an. Alle liefern Ihnen das Zertifikat als Datei, die Sie selbst auf einem öffentlich zugänglichen HTTPS-Server hosten müssen. Dieser Punkt wird häufig erst spät im Prozess entdeckt. Zweitens beträgt der Preisunterschied zwischen der günstigsten CA (Sectigo, 749 $/Jahr für ein VMC) und der teuersten (DigiCert/Entrust, 1499 $/Jahr) 100 %. Das resultierende Zertifikat ist technisch identisch (gleiches PEM-Format, gleiche Validierungsanforderungen, gleiche Kompatibilität mit E-Mail-Anbietern), aber das Serviceniveau, die Begleitung und die Reputation der CA rechtfertigen diesen Unterschied teilweise.

Die Voraussetzungen vor dem Kauf Ihres Zertifikats

Bevor Sie bei einer Zertifizierungsstelle bestellen, müssen vier Voraussetzungen erfüllt sein. Sie zu ignorieren ist die Hauptursache für Verzögerungen und abgelehnte Anträge. Jede fehlende Voraussetzung fügt dem Prozess zwischen einer und sechs Wochen hinzu.

DMARC im Enforcement

Die BIMI-Spezifikation verlangt, dass die Absender-Domain einen DMARC-Record mit einer Enforcement-Policy veröffentlicht: p=quarantine oder p=reject. Ein DMARC-Record mit p=none (Beobachtungsmodus) qualifiziert nicht für BIMI, unabhängig vom E-Mail-Anbieter. Gmail ist bei diesem Punkt besonders strikt und prüft den DMARC-Record, bevor überhaupt nach dem BIMI-Record gesucht wird.

Damit DMARC funktioniert, müssen SPF und DKIM im Vorfeld korrekt konfiguriert sein. DMARC "besteht", wenn mindestens eines der beiden Protokolle (SPF oder DKIM) authentifiziert und mit der From:-Domain ausgerichtet ist. In der Praxis ist die DKIM-Signatur der zuverlässigere Mechanismus, da sie im Gegensatz zu SPF die Weiterleitung von Nachrichten (Forwarding) übersteht.

Schnelle Prüfung:

dig +short TXT _dmarc.captaindns.com

Erwartetes Ergebnis:

"v=DMARC1; p=reject; pct=100; rua=mailto:dmarc-agg@captaindns.com; adkim=r; aspf=r"

Kontrollpunkte:

• p=quarantine oder p=reject (nicht p=none)
• pct=100 (oder fehlend, da der Standardwert 100 ist)
• Mindestens ein rua=-Tag für den Empfang aggregierter Berichte (empfohlen, aber nicht obligatorisch für BIMI)

Wenn Sie noch bei p=none stehen, bestellen Sie Ihr Zertifikat noch nicht. Migrieren Sie zuerst zu p=quarantine, überwachen Sie die DMARC-Berichte einige Wochen lang, um sicherzustellen, dass Ihre legitimen Flüsse nicht beeinträchtigt werden, und wechseln Sie dann zu p=reject, falls möglich. Dieser Prozess kann je nach Komplexität Ihrer E-Mail-Infrastruktur zwischen zwei und acht Wochen dauern.

Ein konformes SVG-Logo im Tiny-PS-Format

Das bei der CA eingereichte und im BIMI-Record veröffentlichte Logo muss dem Profil SVG Tiny-PS (Tiny Portable/Secure) entsprechen. Dieses eingeschränkte SVG-Profil wurde von der BIMI Group aus Sicherheitsgründen vorgeschrieben: Es verbietet Elemente, die von einem Angreifer ausgenutzt werden könnten (Skripte, externe Bilder, Animationen).

Technische Anforderungen des SVG-Tiny-PS-Formats:

• Attribut version="1.2" und baseProfile="tiny-ps" im Wurzelelement <svg>
• Quadratische ViewBox (das Logo muss quadratisch sein, z.B. viewBox="0 0 100 100")
• Dateigröße unter 32 KB
• Keine JavaScript-Skripte (<script>)
• Keine externen oder internen CSS-Styles (<style>, style=)
• Keine externen Bilder (<image> mit URL)
• Keine Animationen (<animate>, <animateTransform>)
• Keine Hyperlinks (<a>)
• Pflicht-Element <title> (Barrierefreiheit)

Die meisten Unternehmenslogos im Standard-SVG-Format erfüllen diese Einschränkungen nicht. Sie enthalten Inline-CSS-Styles, <defs>-Elemente mit komplexen Farbverläufen oder eingebettete base64-Bilder. Eine Konvertierung ist fast immer erforderlich.

Um Ihr Logo in das SVG-Tiny-PS-Format zu konvertieren, verwenden Sie den BIMI-SVG-Konverter von CaptainDNS. Das Tool validiert automatisch die Konformität und meldet unerlaubte Elemente.

Für eine detaillierte Anleitung zur Erstellung und Konvertierung des Logos lesen Sie den Leitfaden zur BIMI-Logo-Erstellung.

Eine eingetragene Marke (nur VMC)

Für ein VMC prüft die CA, ob das eingereichte Logo einer aktiven eingetragenen Marke bei einem anerkannten Amt für geistiges Eigentum entspricht. Diese Prüfung ist der längste und anspruchsvollste Schritt im VMC-Prozess.

Anerkannte Ämter: Die CAs akzeptieren Marken, die bei Mitgliedsämtern der WIPO (Weltorganisation für geistiges Eigentum) und bestimmten nationalen Ämtern eingetragen sind. Die wichtigsten: DPMA (Deutschland), EUIPO (Europäische Union), USPTO (USA), UKIPO (Vereinigtes Königreich), CIPO (Kanada), IP Australia, INPI (Frankreich), OEPM (Spanien), UIBM (Italien). Wenn Ihre Marke in einem nicht abgedeckten Land eingetragen ist, klären Sie dies mit der CA vor der Bestellung.

Markentyp: Die Marke muss eine Bildmarke sein (mit grafischem Element). Reine Wortmarken (nur Text) genügen nicht. Das ist eine häufige Falle: Ein Unternehmen, das seinen Markennamen als Text hinterlegt hat, aber nicht sein Logo, kann kein VMC erhalten. Das bei der CA eingereichte Logo muss visuell mit der eingetragenen Marke übereinstimmen. Geringfügige Abweichungen (Farbe, Proportionen) können akzeptiert werden, aber eine wesentliche Abweichung führt zur Ablehnung.

Markenstatus: Die Marke muss aktiv sein (nicht abgelaufen, nicht in Löschung oder Anfechtung). Die CA prüft den Status in der Datenbank des betreffenden Amts. Wenn Ihre Marke in den nächsten Monaten abläuft, erneuern Sie sie vor der VMC-Bestellung.

Kosten der Markeneintragung (falls Sie keine haben):

• DPMA (Deutschland): etwa 290 Euro für 10 Jahre, eine Klasse. Verlängerung: etwa 750 Euro
• EUIPO (Europäische Union): etwa 850 Euro für 10 Jahre, eine Klasse. Abdeckung der 27 EU-Länder
• USPTO (USA): etwa 250-350 $ pro Klasse

Eintragungsdauer: zwischen 4 und 12 Monaten je nach Amt und Abwesenheit von Widerspruch. Wenn Sie noch keine eingetragene Marke haben und ein VMC wollen, ist die Markeneintragung der limitierende Faktor. Planen Sie mindestens 6 Monate zwischen der Anmeldung und dem Erhalt des VMC ein.

Ein 12-monatiger Nutzungsnachweis (nur CMC)

Für ein CMC prüft die CA keine eingetragene Marke. Sie prüft, ob das Logo seit mindestens 12 Monaten öffentlich von der Organisation verwendet wird. Die Logik ist einfach: Wenn ein Logo kontinuierlich und dokumentierbar mit Ihrer Organisation verbunden ist, verdient es auch ohne Markeneintragung eine Authentifizierung.

Akzeptierte Nachweise:

• Screenshots Ihrer Website über web.archive.org, die das Logo vor 12 Monaten und heute zeigen
• Datierte Rechnungen, Broschüren, Kataloge mit dem Logo
• Veröffentlichungen auf sozialen Medien (LinkedIn, X/Twitter) mit Zeitstempel
• Marketingmaterialien, Pressemitteilungen, E-Mail-Screenshots

Was die CA prüft:

• Das Logo wird aktuell auf einer von Ihnen kontrollierten Website angezeigt
• Dasselbe Logo (oder eine sehr ähnliche Variante) war auf derselben Domain mindestens 12 Monate zuvor sichtbar
• Das Logo ist eindeutig mit der antragstellenden Organisation verbunden (kein generisches Logo oder Stockbild)

Vorteil des CMC: Der Prozess ist flexibler und schneller als beim VMC. Keine eingetragene Marke erforderlich, keine Prüfung in den WIPO-Datenbanken, keine exakte Übereinstimmung mit einer offiziellen Eintragung. Wenn Ihr Logo stabil und seit über einem Jahr öffentlich genutzt wird, ist das CMC eine realistische Option, die zwischen 1 und 4 Wochen dauert.

Einschränkung: Wenn Ihre Organisation jung ist (weniger als 12 Monate) oder Sie kürzlich Ihr Logo gewechselt haben, können Sie nicht sofort ein CMC erhalten. Das Logo muss erst 12 Monate dokumentierbare öffentliche Nutzung angesammelt haben.

Der VMC/CMC-Validierungsprozess Schritt für Schritt

Der Validierungsprozess ist das Kernstück des Beschaffungswegs für ein BIMI-Zertifikat. Es ist auch der Schritt, bei dem die meisten Verzögerungen auftreten, fast immer wegen unvollständiger Unterlagen oder eines nicht konformen Logos. Hier der detaillierte Ablauf für beide Zertifikatstypen.

VMC-Validierung: die fünf Schritte

Schritt 1: Organisationsvalidierung (OV)

Die CA prüft die rechtliche Existenz Ihrer Organisation. Sie fordert offizielle Dokumente an:

• Für ein deutsches Unternehmen: aktueller Handelsregisterauszug
• Für ein amerikanisches Unternehmen: Articles of Incorporation, Certificate of Good Standing
• Für ein europäisches Unternehmen: Handelsregisterauszug des betreffenden Landes

Die CA prüft, ob die Organisation aktiv ist, ob die Adresse mit den öffentlichen Daten übereinstimmt und ob die Kontaktperson berechtigt ist, im Namen der Organisation zu handeln. Dieser Schritt kann einen Verifizierungsanruf an die offizielle Unternehmensnummer erfordern (über ein öffentliches Verzeichnis geprüft).

Schritt 2: Prüfung der eingetragenen Marke

Die CA fordert die Registrierungsnummer der Marke und das Eintragungsamt an. Sie prüft:

• Die Existenz der Marke in der Datenbank des Amts (DPMA, EUIPO, USPTO usw.)
• Den aktiven Status der Marke (nicht abgelaufen, nicht gelöscht)
• Die visuelle Übereinstimmung zwischen dem eingereichten Logo und der eingetragenen Marke
• Das Eigentum oder die Nutzungslizenz (die antragstellende Organisation muss Inhaber sein oder über eine explizite Lizenz verfügen)

Dies ist der längste Schritt im VMC-Prozess. Die visuelle Prüfung kann Rückfragen erfordern, wenn das eingereichte Logo von der eingetragenen Marke abweicht (andere Farben, vereinfachte Version, Digital-Variante). Bereiten Sie eine Logo-Version vor, die der eingetragenen Marke so nahe wie möglich kommt.

Schritt 3: Domain-Verifizierung

Die CA prüft, ob Sie die Absender-Domain kontrollieren. Zwei gängige Methoden:

• DNS TXT: Die CA stellt Ihnen einen eindeutigen Wert bereit, den Sie als TXT-Record in Ihrer Domain veröffentlichen. Sie prüft anschließend das Vorhandensein dieses Records
• E-Mail: Die CA sendet eine E-Mail an eine konventionelle Adresse der Domain (admin@, postmaster@, webmaster@) mit einem Bestätigungslink

Die DNS-TXT-Methode ist die schnellste und zuverlässigste. Sie dauert nur wenige Minuten, wenn Sie Zugang zu Ihrer DNS-Zone haben.

Schritt 4: SVG-Logo-Prüfung

Sie reichen die SVG-Tiny-PS-Datei bei der CA ein. Sie prüft die technische Konformität (Format, Größe, Abwesenheit verbotener Elemente) und die visuelle Übereinstimmung mit der eingetragenen Marke. Wenn die Datei nicht konform ist, lehnt die CA sie mit einem Fehlerbericht ab.

Schritt 5: Ausstellung des PEM-Zertifikats

Sobald alle Prüfungen bestanden sind, stellt die CA das Zertifikat im PEM-Format aus. Die Datei enthält das Markenzertifikat, die Intermediate-Chain und manchmal das eingebettete SVG-Logo. Sie laden diese Datei herunter und müssen sie auf einem öffentlich zugänglichen HTTPS-Server hosten.

CMC-Validierung: die fünf Schritte

Schritt 1: Organisationsvalidierung (OV)

Identisch mit dem VMC. Gleiche Dokumente, gleicher Prüfprozess. Wenn Sie bereits eine aktuelle Organisationsvalidierung bei derselben CA haben (z.B. für ein TLS-Zertifikat), kann dieser Schritt beschleunigt werden.

Schritt 2: Prüfung der Logo-Nutzung

Anstatt eine eingetragene Marke zu prüfen, verifiziert die CA die öffentliche Nutzung des Logos seit mindestens 12 Monaten. Sie reichen die im vorherigen Abschnitt beschriebenen Nachweise ein (web.archive.org-Screenshots, datierte Dokumente, Veröffentlichungen). Die CA prüft die Authentizität und Konsistenz dieser Nachweise.

Dieser Schritt ist in der Regel schneller als die Markenprüfung des VMC, da er nicht von einem Drittamt abhängt. Er erfordert jedoch eine sorgfältige Vorbereitung: Unvollständige oder mehrdeutige Nachweise führen zu Rückfragen.

Schritt 3: Domain-Verifizierung

Identisch mit dem VMC. DNS TXT oder Bestätigungs-E-Mail.

Schritt 4: SVG-Logo-Prüfung

Identisch mit dem VMC. Das Logo muss im SVG-Tiny-PS-Format vorliegen und visuell mit dem Logo übereinstimmen, dessen Nutzung nachgewiesen wurde.

Schritt 5: Ausstellung des PEM-Zertifikats

Identisch mit dem VMC. Das CMC-Zertifikat hat technisch dasselbe Format wie das VMC (PEM-Datei mit einem X.509-Zertifikat). Der einzige Unterschied liegt in den Metadaten des Zertifikats: der Typ (VMC vs CMC) und das zugehörige Validierungsniveau.

Die Fallstricke, die die Validierung verzögern

Die CAs bearbeiten Dutzende BIMI-Anträge pro Woche. Die große Mehrheit der Verzögerungen wird durch dieselben wiederkehrenden Fehler verursacht:

SVG-Logo abgelehnt: Das ist die häufigste Ursache für Verzögerungen. Die eingereichte SVG-Datei enthält CSS-Styles, Skripte, externe Bilder oder hat nicht die richtigen Versionsattribute. Validieren Sie Ihr Logo, bevor Sie es bei der CA einreichen. Jede Rückfrage fügt 3 bis 5 Werktage hinzu.

Eingetragene Marke in einem nicht anerkannten Amt: Einige nationale Ämter kleinerer Länder stehen nicht auf der Liste der von den CAs anerkannten Ämter. Prüfen Sie dies mit der CA, bevor Sie den Prozess starten. Wenn Ihre Marke nur in einem nicht anerkannten Amt eingetragen ist, müssen Sie sie entweder in einem akzeptierten Amt eintragen (EUIPO ist die breiteste Wahl für Europa) oder sich für ein CMC entscheiden.

Wortmarke statt Bildmarke: Eine Wortmarke (der Firmenname als Text, ohne grafisches Element) qualifiziert nicht für ein VMC. Es muss eine Bildmarke sein (grafisches Logo). Wenn Sie nur eine Wortmarke haben, müssen Sie entweder eine Bildmarke anmelden (Wartezeit von mehreren Monaten) oder sich für ein CMC entscheiden.

Abgelaufene Organisationsdokumente: Ein Handelsregisterauszug, der älter als 3 Monate ist, wird in der Regel abgelehnt. Bestellen Sie Ihre offiziellen Dokumente kurz vor der Zertifikatsbestellung.

Domain nicht verifiziert: Das Vergessen des DNS-TXT-Verifizierungsrecords ist erstaunlich häufig. Manche Teams starten die Zertifikatsanfrage, ohne Zugang zur DNS-Zone zu haben, was den Prozess tagelang blockiert, bis die Koordination mit dem Infrastrukturteam erfolgt.

Nicht autorisierter Kontakt: Die Person, die den Antrag stellt, muss berechtigt sein, im Namen der Organisation zu handeln. Wenn die CA diese Berechtigung nicht verifizieren kann (der Kontakt erscheint nicht als Geschäftsführer in den offiziellen Dokumenten), wird sie ein von einem Geschäftsführer unterschriebenes Autorisierungsschreiben verlangen.

Praxis-Checkliste vor Einreichung: Gehen Sie diese fünf Punkte durch, bevor Sie den Antrag absenden: (1) SVG-Logo mit dem CaptainDNS SVG-Validator geprüft, (2) Handelsregisterauszug jünger als 3 Monate, (3) Markenstatus in der Datenbank des Amts verifiziert (VMC) oder Nutzungsnachweise zusammengestellt (CMC), (4) DNS-TXT-Zugang gesichert, (5) antragstellende Person als vertretungsberechtigt identifizierbar. Jeder fehlende Punkt kostet mindestens 3 bis 5 Werktage.

Die realen Fristen

Die von den CAs angegebenen Fristen sind optimistische Schätzungen. In der Praxis:

• VMC mit vollständig vorbereiteten Unterlagen: 2 bis 3 Wochen. Das ist der Idealfall: aktuelle Organisationsdokumente, eindeutig identifizierbare eingetragene Marke, konformes SVG-Logo, DNS-Zugang verfügbar
• VMC mit notwendigen Korrekturen: 4 bis 6 Wochen. Eine Rückfrage zum SVG-Logo, ein zu erneuerndes Dokument, eine zu klärende Marke: Jede Korrektur fügt eine Woche hinzu
• CMC mit vollständig vorbereiteten Unterlagen: 1 bis 2 Wochen. Der Prozess ist einfacher und schneller
• CMC mit Korrekturen: 2 bis 4 Wochen

Tipp zur Beschleunigung: Bereiten Sie ein vollständiges "Bewerbungsdossier" vor, bevor Sie bestellen. Sammeln Sie in einem Ordner: das validierte SVG-Tiny-PS-Logo, aktuelle Organisationsdokumente, die Registrierungsnummer der eingetragenen Marke (VMC) oder Nutzungsnachweise (CMC) und die DNS-Zugangsdaten der Domain. Reichen Sie alles auf einmal ein. Vollständige Dossiers werden deutlich schneller bearbeitet als unvollständige, die Nachfragen erfordern.

Ihr PEM-Zertifikat hosten

Sobald das Zertifikat von der CA ausgestellt wurde, erhalten Sie eine Datei im PEM-Format (Endung .pem). Diese Datei enthält das base64-kodierte X.509-Zertifikat, die Intermediate-Chain und die Marken-Metadaten. Sie muss auf einem öffentlich zugänglichen HTTPS-Server gehostet werden, da die URL dieser Datei in Ihrem DNS-BIMI-Record über das Tag a= referenziert wird.

Der häufig erst spät entdeckte Punkt: Keine der fünf CAs bietet das Hosting der PEM-Datei an. Sie stellen das Zertifikat aus und liefern es Ihnen. Das Hosting liegt in Ihrer Verantwortung.

Drei Optionen für das PEM-Hosting

Option 1: Self-Hosting (Webserver oder CDN)

Sie hosten die Datei auf Ihrem eigenen Server (nginx, Apache) oder über ein CDN (S3 + CloudFront, Cloudflare R2). Die Anforderungen sind strikt:

• HTTPS obligatorisch (TLS 1.2 Minimum, gültiges Serverzertifikat)
• Content-Type: application/pkix-cert oder application/pem-certificate-chain
• Direkte HTTP-200-Antwort (keine 301/302-Weiterleitungen)
• Hohe Verfügbarkeit (die Datei muss rund um die Uhr weltweit erreichbar sein)

Diese Option eignet sich für Teams mit bestehender Infrastruktur und einem Ops-Team. Das Hauptrisiko ist das vergessene Erneuern des TLS-Zertifikats des Hosting-Servers (nicht zu verwechseln mit dem VMC/CMC-Zertifikat selbst).

Option 2: Hosting durch die CA

Einige CAs bieten eine Hosting-URL für die PEM-Datei an, aber dieses Angebot ist nicht systematisch und die Bedingungen variieren. Klären Sie mit Ihrer CA, ob diese Option verfügbar ist und ob sie im Zertifikatspreis enthalten oder zusätzlich berechnet wird.

Option 3: Dedizierter Service (CaptainDNS)

CaptainDNS hostet VMC- und CMC-Zertifikate kostenlos im Rahmen seines BIMI-Hosting-Services. Der Prozess ist einfach:

1. Erstellen Sie ein BIMI-Profil für Ihre Domain im CaptainDNS-Dashboard
2. Verifizieren Sie das Domain-Eigentum (TXT-Record)
3. Laden Sie Ihr SVG-Logo hoch (automatisch auf Tiny-PS-Format validiert)
4. Laden Sie Ihr PEM-Zertifikat hoch (VMC oder CMC)
5. CaptainDNS extrahiert automatisch die Metadaten des Zertifikats (Typ VMC/CMC, Aussteller, Gültigkeitsdaten, abgedeckte Domain)
6. Das Zertifikat wird von assets.captaindns.com mit korrektem Content-Type und automatischem TLS (Let's Encrypt) ausgeliefert
7. CaptainDNS generiert den vollständigen DNS-BIMI-Record mit den korrekten URLs

Was CaptainDNS gegenüber Self-Hosting bietet:

• Automatische Extraktion der Zertifikatsmetadaten (Sie sehen sofort Typ, Aussteller und Ablaufdatum)
• Warnung 30 Tage vor Ablauf des Zertifikats (per E-Mail). Die Erneuerung eines VMC/CMC dauert 1 bis 4 Wochen: Diese Warnung gibt Ihnen genügend Zeit, den Prozess ohne Unterbrechung neu zu starten
• Garantiert korrekter Content-Type (keine manuelle Serverkonfiguration)
• Automatisches TLS über Let's Encrypt (kein Serverzertifikat zu verwalten)
• Zugriffsstatistiken (Anzahl der Anfragen, Zeitstempel der letzten Anfrage)
• Kostenlos für die ersten 5 Domains

Typische Hosting-URL: https://assets.captaindns.com/bimi/cert/captaindns.com/vmc.pem

Für den detaillierten Vergleich der fünf Hosting-Optionen (einschließlich SVG-Logo) lesen Sie den BIMI-Hosting-Leitfaden in der Rubrik Verwandte Leitfäden.

Ihr BIMI-Zertifikat deployen und testen

Das Zertifikat ist beschafft und gehostet. Es bleiben zwei Schritte: den DNS-BIMI-Record veröffentlichen und prüfen, dass alles End-to-End funktioniert.

Den DNS-BIMI-Record veröffentlichen

Der BIMI-Record ist ein TXT-Record, der unter dem Namen default._bimi. gefolgt von Ihrer Domain veröffentlicht wird. Er enthält zwei Haupttags:

• l=: URL des SVG-Logos (oder leer, wenn das Logo im PEM-Zertifikat enthalten ist)
• a=: URL des PEM-Zertifikats (VMC oder CMC)

Vollständiges Beispiel mit Logo und Zertifikat auf CaptainDNS gehostet:

default._bimi.captaindns.com. 3600 IN TXT "v=BIMI1; l=https://assets.captaindns.com/bimi/logo/captaindns.com/logo.svg; a=https://assets.captaindns.com/bimi/cert/captaindns.com/vmc.pem"

Variante ohne Zertifikat (selbstdeklarierter Modus, von Yahoo Mail akzeptiert, aber nicht von Gmail):

default._bimi.captaindns.com. 3600 IN TXT "v=BIMI1; l=https://assets.captaindns.com/bimi/logo/captaindns.com/logo.svg; a=;"

Kontrollpunkte:

• Der Record ist unter default._bimi.captaindns.com veröffentlicht, nicht unter _bimi.captaindns.com (häufiger Fehler)
• Beide URLs verwenden HTTPS (nicht HTTP)
• Das Tag a= zeigt auf die vollständige PEM-Datei (mit Intermediate-Chain)
• Der Record enthält keine störenden Zeichen (falsch geschlossene Anführungszeichen, überzählige Leerzeichen)

DNS-Prüfung:

dig +short TXT default._bimi.captaindns.com

Das Deployment prüfen

Bevor Sie Test-E-Mails versenden, prüfen Sie jedes Glied der Kette:

1. DNS-BIMI-Record prüfen

dig +short TXT default._bimi.captaindns.com

Das Ergebnis muss v=BIMI1 mit korrekt gefüllten Tags l= und a= enthalten.

2. Erreichbarkeit des SVG-Logos prüfen

curl -I https://assets.captaindns.com/bimi/logo/captaindns.com/logo.svg

Erwartet: HTTP 200, Content-Type: image/svg+xml, keine Weiterleitung.

3. Erreichbarkeit des PEM-Zertifikats prüfen

curl -I https://assets.captaindns.com/bimi/cert/captaindns.com/vmc.pem

Erwartet: HTTP 200, passender Content-Type, keine Weiterleitung.

4. DMARC-Record prüfen

dig +short TXT _dmarc.captaindns.com

Erwartet: p=quarantine oder p=reject, pct=100.

5. Das BIMI-Prüftool von CaptainDNS nutzen

Das BIMI Record Check-Tool von CaptainDNS prüft automatisch die gesamte Kette: DNS-Auflösung des BIMI-Records, HTTPS-Erreichbarkeit von Logo und Zertifikat, Gültigkeit des Zertifikats (Daten, Aussteller, Typ), Konformität des SVG-Logos im Tiny-PS-Format. Es meldet Fehler mit klaren Meldungen und Korrekturvorschlägen.

Die Anzeige in den Posteingängen testen

Sobald die technischen Prüfungen bestanden sind, senden Sie Test-E-Mails an die wichtigsten Anbieter:

Gmail: Senden Sie eine E-Mail von Ihrer Domain an ein Gmail-Konto. Das Logo muss neben dem Absendernamen erscheinen. Wenn Sie ein VMC haben, muss das blaue Checkmark (Verifizierungshäkchen) sichtbar sein. Die Anzeige kann einige Stunden nach der Veröffentlichung des BIMI-Records dauern (Gmail cacht BIMI-Ergebnisse).

Apple Mail: Prüfen Sie auf iOS und macOS. Apple Mail zeigt das Logo nur an, wenn der Mailserver (iCloud im Fall eines Apple-Kontos) das VMC-Zertifikat verifiziert hat. Das CMC wird von Apple Mail nicht unterstützt.

Yahoo Mail: Yahoo Mail ist der permissivste Anbieter. Er zeigt das BIMI-Logo auch ohne Zertifikat an (selbstdeklarierter Modus). Wenn Ihr Logo bei Yahoo Mail erscheint, aber nicht bei Gmail, liegt das Problem wahrscheinlich am Zertifikat, nicht am DNS-Record oder Logo.

Anzeigedauer: Rechnen Sie mit einigen Stunden bis zu einigen Tagen. Die E-Mail-Anbieter cachen BIMI-Records und Logos. Eine Änderung des Zertifikats oder Logos kann bis zu 72 Stunden für die vollständige Verbreitung benötigen. Keine Panik, wenn das Logo nicht sofort nach der Veröffentlichung des DNS-Records erscheint.

Reales Gesamtbudget: VMC vs CMC

Die Zertifikatspreise stellen nur einen Teil des Budgets dar. Für eine fundierte Entscheidung müssen alle Kostenposten im ersten Jahr und in den Folgejahren berücksichtigt werden.

Kostenposten	VMC	CMC
BIMI-Zertifikat (jährlich)	749-1688 $	650-1100 $
Eingetragene Marke DPMA (10 Jahre, 1 Klasse)	~290 Euro	Nicht erforderlich
Eingetragene Marke EUIPO (10 Jahre, 1 Klasse)	~850 Euro	Nicht erforderlich
SVG-Tiny-PS-Logo (Konvertierung durch Designer)	200-500 Euro	200-500 Euro
Hosting Logo + Zertifikat (CaptainDNS)	Kostenlos	Kostenlos
DMARC-Konfiguration (in bestehendem DNS enthalten)	0 Euro	0 Euro
Geschätztes Gesamtbudget Jahr 1 (mit DPMA)	~1300-2700 Euro	~800-1500 Euro
Geschätztes Gesamtbudget Jahr 1 (mit EUIPO)	~1900-3200 Euro	~800-1500 Euro
Geschätztes Gesamtbudget Folgejahre	~700-1600 Euro/Jahr	~600-1000 Euro/Jahr

Anmerkungen zum Budget:

Die Kosten der Markeneintragung sind eine einmalige Investition, die über 10 Jahre abgeschrieben wird. Umgerechnet auf die jährlichen Kosten ergibt das etwa 29 Euro pro Jahr (DPMA) oder 85 Euro pro Jahr (EUIPO). Aber die Anfangsinvestition kann bei der Entscheidung ins Gewicht fallen.

Der Posten "SVG-Tiny-PS-Logo" entspricht der Konvertierung eines bestehenden Logos in das Tiny-PS-Format durch einen Grafikdesigner. Wenn Ihr Logo einfach ist (geometrische Formen, Volltonfarben), kann die Konvertierung intern kostenlos durchgeführt werden. Wenn Ihr Logo komplex ist (Farbverläufe, Effekte, aufwendige Typografie), kann ein spezialisierter Designer zwischen 200 und 500 Euro für eine saubere Konvertierung berechnen.

Das Hosting von Logo und Zertifikat ist bei CaptainDNS kostenlos (bis zu 5 Domains). Beim Self-Hosting ist der Kostenaufwand nahezu null, wenn Sie bereits über eine Infrastruktur verfügen (wenige Cent pro Monat an Cloud-Speicher). Bei Nutzung einer integrierten DMARC-Plattform ist das Hosting im Abonnement enthalten (50-500 $/Monat).

Die am meisten unterschätzten realen Kosten sind nicht finanzieller Natur: Es ist die Zeit. Die Zeit für die Vorbereitung der Dokumente, die Validierung mit der CA, die DNS-Konfiguration, die Tests. Für ein VMC rechnen Sie mit 20 bis 40 Stunden technischer und administrativer Arbeit, verteilt auf 2 bis 6 Wochen. Für ein CMC mit 10 bis 20 Stunden auf 1 bis 4 Wochen.

Empfohlener Aktionsplan: BIMI-Zertifikat beschaffen und deployen

Hier der optimale Weg zur Beschaffung und zum Deployment Ihres BIMI-Zertifikats, von der Vorbereitung bis zur Logo-Anzeige im Posteingang.

1. Ihre Voraussetzungen prüfen

Bevor Sie handeln, validieren Sie die vier Voraussetzungen: DMARC im Enforcement (p=quarantine oder p=reject), Logo im SVG-Tiny-PS-Format (oder konvertierbar), aktive eingetragene Marke falls Sie ein VMC anstreben (oder Nutzungsnachweise falls Sie ein CMC anstreben), und Zugang zur DNS-Zone der Absender-Domain. Wenn eine Voraussetzung fehlt, behandeln Sie sie vorrangig. Eine fehlende Voraussetzung zum Zeitpunkt der Zertifikatsbestellung kann den gesamten Prozess um mehrere Wochen verzögern.

2. VMC oder CMC wählen

Nutzen Sie den Entscheidungsbaum aus dem ersten Abschnitt dieses Artikels. Wenn Sie eine eingetragene Bildmarke haben und das Gmail-Checkmark strategisch wichtig ist, wählen Sie das VMC. In allen anderen Fällen ist das CMC die pragmatische Wahl: günstiger, schneller, ausreichend für die Logo-Anzeige in Gmail.

3. CAs vergleichen und bestellen

Konsultieren Sie die Vergleichstabelle der fünf CAs. Für das beste Preis-Leistungs-Verhältnis ist Sectigo die wettbewerbsfähigste Wahl. Für Prozesszuverlässigkeit und Begleitung sind DigiCert oder Entrust die Referenzen. Stellen Sie Ihr vollständiges "Bewerbungsdossier" zusammen, bevor Sie bestellen, um Rückfragen zu minimieren.

4. Logo und Zertifikat auf CaptainDNS hosten

Während die CA Ihren Antrag bearbeitet, richten Sie das Hosting ein. Erstellen Sie ein BIMI-Profil auf CaptainDNS, verifizieren Sie Ihre Domain, laden Sie Ihr SVG-Logo hoch. Wenn das PEM-Zertifikat ausgestellt ist, müssen Sie es nur noch hochladen, um die Konfiguration abzuschließen.

5. DNS-Record veröffentlichen und testen

Kopieren Sie den von CaptainDNS generierten DNS-BIMI-Record in Ihre DNS-Zone. Prüfen Sie die gesamte Kette (DNS, HTTPS, Zertifikat, DMARC). Senden Sie Test-E-Mails an Gmail, Apple Mail und Yahoo Mail. Überwachen Sie die DMARC-Berichte in den ersten Tagen, um mögliche Ausrichtungsprobleme zu erkennen.

FAQ

Braucht man ein VMC-Zertifikat, um ein BIMI-Logo anzuzeigen?

Nein. Yahoo Mail zeigt das BIMI-Logo ohne jedes Zertifikat an (selbstdeklariert). Gmail zeigt das Logo mit einem VMC oder CMC an, aber nur das VMC aktiviert das blaue Checkmark. Apple Mail verlangt ein VMC. Das Zertifikat ist also nicht bei allen Anbietern obligatorisch, wird aber für Gmail empfohlen.

Was ist der Unterschied zwischen VMC und CMC?

Das VMC (Verified Mark Certificate) erfordert eine eingetragene Marke und aktiviert das blaue Checkmark in Gmail. Das CMC (Common Mark Certificate) erfordert keine eingetragene Marke: Es genügt, die Nutzung des Logos seit 12 Monaten nachzuweisen. Das CMC zeigt das Logo in Gmail ohne das blaue Checkmark an. Beide sind X.509-Zertifikate im PEM-Format.

Was kostet ein VMC-Zertifikat?

Zwischen 749 und 1688 $ pro Jahr je nach Zertifizierungsstelle. Sectigo bietet die niedrigsten Preise (~749 $/Jahr über Reseller), während DigiCert und Entrust bei circa 1499 $/Jahr liegen. Hinzu kommen die Kosten der eingetragenen Marke, falls Sie keine haben (290 Euro beim DPMA, 850 Euro beim EUIPO).

Kann man ein BIMI-Zertifikat kostenlos erhalten?

Nein. VMC- und CMC-Zertifikate sind kostenpflichtig (mindestens 650 $ pro Jahr). Das Hosting des Zertifikats kann hingegen kostenlos sein: CaptainDNS hostet Ihre PEM-Datei ohne Kosten für 5 Domains. Und Yahoo Mail zeigt das BIMI-Logo ganz ohne Zertifikat an.

Welche Voraussetzungen gibt es für den Kauf eines VMC?

Vier Voraussetzungen: ein DMARC-Record im Enforcement (p=quarantine oder p=reject), ein Logo im SVG-Tiny-PS-Format, eine aktive eingetragene Marke, die das Logo abdeckt, und die Kontrolle über die Absender-Domain. Ohne eingetragene Marke entscheiden Sie sich für ein CMC.

Wie lange dauert es, ein VMC-Zertifikat zu erhalten?

Rechnen Sie mit 2 bis 6 Wochen. Die Validierung der eingetragenen Marke ist der längste Schritt. Für ein CMC beträgt die Frist 1 bis 4 Wochen. Alle Dokumente im Voraus vorzubereiten (Handelsregisterauszug, Markennummer, SVG-Logo) beschleunigt den Prozess erheblich.

Garantiert das VMC-Zertifikat die Logo-Anzeige in allen Posteingängen?

Nein. Das VMC garantiert die Anzeige in Gmail (mit blauem Checkmark) und Apple Mail. Yahoo Mail zeigt das Logo ohne Zertifikat an. Microsoft Outlook unterstützt BIMI noch nicht. Die Kompatibilität hängt vom jeweiligen E-Mail-Anbieter ab.

Was passiert, wenn ein VMC- oder CMC-Zertifikat abläuft?

Gmail und Apple Mail hören auf, Ihr Logo anzuzeigen. Der DNS-BIMI-Record bleibt gültig, aber das Zertifikat wird nicht mehr verifiziert. Die Erneuerung dauert genauso lang wie die Erstausstellung. CaptainDNS sendet 30 Tage vor Ablauf eine Warnung, damit Sie vorausplanen können.

Vergleichstabellen herunterladen

Assistenten können die JSON- oder CSV-Exporte unten nutzen, um die Kennzahlen weiterzugeben.

• Vergleich herunterladen (CSV)
• Vergleich herunterladen (JSON)

Glossar

• VMC (Verified Mark Certificate): Von einer akkreditierten CA ausgestelltes X.509-Zertifikat, an eine eingetragene Marke gebunden, das das BIMI-Logo authentifiziert und das blaue Checkmark in Gmail aktiviert.
• CMC (Common Mark Certificate): Dem VMC ähnliches X.509-Zertifikat, jedoch ohne Anforderung einer eingetragenen Marke. Basiert auf einem 12-monatigen Nutzungsnachweis des Logos.
• BIMI (Brand Indicators for Message Identification): E-Mail-Standard (RFC 9495), der Absendern ermöglicht, ihr Logo in den Posteingängen der Empfänger anzuzeigen.
• PEM (Privacy Enhanced Mail): Base64-kodiertes Textdateiformat zur Speicherung digitaler Zertifikate.
• SVG Tiny-PS (Tiny Portable/Secure): Eingeschränktes SVG-Profil, von BIMI aus Sicherheitsgründen vorgeschrieben.
• DMARC (Domain-based Message Authentication, Reporting and Conformance): E-Mail-Authentifizierungsprotokoll, das SPF und DKIM koordiniert.

---

Hosten Sie Ihr VMC- oder CMC-Zertifikat kostenlos: CaptainDNS hostet Ihre PEM-Datei mit automatischer Metadaten-Extraktion, Ablaufwarnungen und Zugriffsstatistiken. Erstellen Sie Ihr BIMI-Profil über das Hosting-Tool, erreichbar über den Button oben in diesem Artikel.

---

Quellen

• RFC 9495: Brand Indicators for Message Identification (BIMI)
• BIMI Group: Verified Mark Certificates (VMC) and BIMI
• BIMI Group: Common Mark Certificates (CMC)
• Google Workspace: BIMI konfigurieren
• URIports: BIMI Adoption Report 2025

Verwandte BIMI-Leitfäden

• BIMI, VMC, CMC: Kompatibilität und DNS-Voraussetzungen: detaillierter Vergleich der Zertifikate und ihrer Kompatibilität je E-Mail-Anbieter
• BIMI-Hosting: Wo Sie Ihr SVG-Logo hosten: die fünf Hosting-Optionen im Vergleich für Logo und Zertifikat
• BIMI für KMU einrichten: Budget-Leitfaden ohne VMC: BIMI mit minimalem Budget deployen