SPF, DKIM & DMARC für Proton Mail.
Proton Mail authentifiziert eine benutzerdefinierte Domain über den Bereich „Domain names“ in Ihren Kontoeinstellungen, der Sie der Reihe nach durch fünf DNS-Registerkarten führt — Verify, MX, SPF, DKIM und DMARC — jede mit einer Live-Prüfung mit grünem Häkchen, die Ihr DNS überwacht. Anders als ein Massen-ESP ist Proton Ihr eigentlicher Postfach-Host, sodass „Senden als Ihre Domain“ hier Ihre alltägliche Post von you@yourdomain.com bedeutet. SPF ist ein echter gemeinsamer Include (include:_spf.protonmail.ch), den Sie in den einen SPF-Eintrag auf Ihrer Root-Domain einfügen; DKIM besteht aus drei CNAME-Einträgen, mit denen Proton 2048-Bit-Schlüssel veröffentlicht und automatisch rotiert, signiert als Ihre eigene Domain; und DMARC ist ein Richtlinien-Eintrag, den Proton Ihnen anzeigt, aber niemals in Ihr DNS schreibt. Eine Voraussetzung, die die meisten Anleitungen überspringen: Benutzerdefinierte Domains erfordern einen kostenpflichtigen Mail-Tarif (Mail Plus, Proton Unlimited, Proton Family/Duo oder Proton for Business) — mit einem kostenlosen Konto können Sie keine hinzufügen.
Warum Proton Mail authentifizieren?
Die Authentifizierung Ihrer Proton-Domain entscheidet darüber, ob Ihre Post überhaupt den Posteingang erreicht — Datenschutz ist Protons Verkaufsargument, aber Datenschutz ist keine Authentifizierung, und Empfänger bewerten Sie anhand von Einträgen, nicht anhand von Absichten. Seit Februar 2024 verlangen Gmail und Yahoo von jedem Massenversender (grob 5.000+ Nachrichten pro Tag), dass er SPF, DKIM und DMARC mit Ausrichtung besteht, und Microsoft begann 2025, dasselbe bei Mail mit hohem Volumen an Outlook.com/Hotmail durchzusetzen. Selbst bei einem privaten oder kleingewerblichen Postfach mit geringem Volumen erhält eine nicht authentifizierte benutzerdefinierte Proton-Domain einen „via“-Hinweis, besteht DMARC nicht und driftet in Richtung Spam — und schlimmer noch: Sie lässt Ihre Domain offen für Spoofing, weil Sie nichts veröffentlicht haben, das der Welt mitteilt, welche Server als Sie senden dürfen. Es gibt einen Proton-spezifischen Grund, warum das hier noch mehr zählt: Proton besitzt und verwaltet den SMTP-Return-Path für Ihre ausgehende Post und lässt Sie ihn nicht anpassen, sodass man sich nicht darauf verlassen kann, dass SPF sich zu Ihrer Domain ausrichtet. Das macht DKIM — das Proton als d=yourdomain.com signiert — zum Mechanismus, der Ihren DMARC-Pass tatsächlich trägt. Richten Sie alle drei ein, und Ihre Post gehört kryptografisch Ihnen, das „via“-Tag verschwindet, DMARC besteht über ausgerichtetes DKIM, und die Reputation, die Sie aufbauen, kommt Ihrer eigenen Domain zugute.
Die SPF-Realität bei Proton Mail
Proton Mail ist ein echter „Include“-Anbieter: Sie fügen einen gemeinsamen Mechanismus, include:_spf.protonmail.ch, zu dem einen SPF-TXT-Eintrag auf Ihrer Root-Domain hinzu — der vollständige Eintrag lautet v=spf1 include:_spf.protonmail.ch ~all. Dies ist ein echter gemeinsamer Include (jeder Proton-Kunde mit benutzerdefinierter Domain verwendet denselben), anders als bei ESPs mit CNAME-Delegation. Er kostet nur einen DNS-Lookup vom RFC-7208-Limit von 10, und Proton empfiehlt ausdrücklich, mit ~all (Softfail) statt -all abzuschließen, sodass Post von einem Server, den Sie aufzulisten vergessen haben, als verdächtig markiert und nicht hart abgelehnt wird. Es gibt jedoch einen wichtigen Proton-spezifischen Vorbehalt: Da Proton den Envelope-Sender / Return-Path Ihrer ausgehenden Post kontrolliert und Ihnen keine Möglichkeit gibt, ihn auf Ihre eigene Domain zu richten (keine em-artige Sende-Subdomain wie bei SendGrid, kein benutzerdefinierter Return-Path), sollten Sie NICHT darauf zählen, dass SPF sich für DMARC zu Ihrer Domain ausrichtet. Betrachten Sie include:_spf.protonmail.ch als Erfüller zweier nützlicher Aufgaben — es autorisiert Protons ausgehende IPs und erfüllt die reine SPF-Prüfung — und verlassen Sie sich auf DKIM als Ihren ausgerichteten Mechanismus, da Proton jede Nachricht mit d=yourdomain.com signiert. Behalten Sie genau einen SPF-TXT-Eintrag auf der Domain: Wenn Sie auch über Google Workspace, Microsoft 365 oder ein Newsletter-Tool senden, führen Sie jeden Mechanismus in dieser einen v=spf1-Zeile zusammen, statt einen zweiten SPF-Eintrag zu veröffentlichen (zwei SPF-Einträge sind selbst ein PermError). Und jede Sende-Subdomain benötigt ihr eigenes SPF — der Eintrag auf yourdomain.com deckt Post von mail.yourdomain.com nicht ab.
Schritt für Schritt
- 1
Einen kostenpflichtigen Tarif bestätigen und die Domain hinzufügen
Benutzerdefinierte Domains erfordern einen kostenpflichtigen Mail-Tarif — Mail Plus, Proton Unlimited, Proton Family/Duo oder einen Proton-for-Business-Tarif; kostenlose Konten können keine hinzufügen. Melden Sie sich an und gehen Sie zu Settings → All settings → Domain names (bei Business-Tarifen unter Organization → Domain names). Klicken Sie auf Add domain, geben Sie yourdomain.com ein, und Proton öffnet den Einrichtungsassistenten mit seinen Registerkarten Verify / MX / SPF / DKIM / DMARC.
- 2
Den TXT-Eintrag zur Inhaberschaftsprüfung hinzufügen
Auf der Verify-Registerkarte zeigt Proton einen TXT-Eintrag an, dessen Wert protonmail-verification=<ein für Ihre Domain eindeutiger Code> ist. Fügen Sie ihn bei Ihrem DNS-Host als TXT-Eintrag auf der Root hinzu (Host @ oder leer), kehren Sie dann zurück und lassen Sie Proton erneut prüfen — die Registerkarte wechselt zu einem grünen Häkchen, sobald der Eintrag erkannt wird. Belassen Sie diesen Eintrag; ihn später zu entfernen kann die Domain wieder ent-verifizieren.
- 3
MX auf Proton richten
Fügen Sie auf der MX-Registerkarte zwei MX-Einträge auf der Root (@) hinzu: mail.protonmail.ch mit Priorität 10 und mailsec.protonmail.ch mit Priorität 20. Löschen Sie alle übrig gebliebenen MX-Einträge eines früheren Anbieters, oder stellen Sie sicher, dass Protons die niedrigsten Prioritätsnummern haben, damit eingehende Post an Proton weitergeleitet wird. Bei MX geht es um den Empfang, nicht um Authentifizierung, aber Protons Assistent erwartet es und es gehört zu einer sauberen Einrichtung.
- 4
Den SPF-Eintrag hinzufügen oder zusammenführen
Auf der SPF-Registerkarte zeigt Proton v=spf1 include:_spf.protonmail.ch ~all an. Fügen Sie ihn als TXT-Eintrag auf der Root (@) hinzu. Wenn bereits ein v=spf1-Eintrag für einen anderen Versender existiert, erstellen Sie keinen zweiten — führen Sie include:_spf.protonmail.ch in diese eine bestehende Zeile zusammen und behalten Sie ein ~all am Ende.
- 5
Die drei DKIM-CNAME-Werte anzeigen
Öffnen Sie die DKIM-Registerkarte (bei Business-Tarifen: Domain names → Ihre Domain → Review → DKIM). Proton zeigt drei Host/Wert-Paare auf den Selektoren protonmail, protonmail2 und protonmail3 an. Kopieren Sie alle drei genau — die Zielwerte enthalten eine für Ihre Domain eindeutige Kennung.
- 6
Die drei DKIM-CNAMEs veröffentlichen
Erstellen Sie drei CNAME-Einträge: Host protonmail._domainkey → protonmail.domainkey.<hash>.domains.proton.ch, protonmail2._domainkey → protonmail2.domainkey.<hash>.domains.proton.ch und protonmail3._domainkey → protonmail3.domainkey.<hash>.domains.proton.ch, unter Verwendung der exakten Ziele, die Proton angezeigt hat. Behalten Sie den Typ CNAME (nicht TXT), und wenn Ihr Registrar einen abschließenden Punkt anhängt oder Ihren Domainnamen automatisch zum Wert hinzufügt, kürzen Sie ihn, sodass das Ziel eine exakte Übereinstimmung ist.
- 7
Den DMARC-Eintrag veröffentlichen
Fügen Sie auf der DMARC-Registerkarte einen TXT-Eintrag auf dem Host _dmarc mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com hinzu. Beginnen Sie mit p=none (reiner Überwachungsmodus), sodass sich an der Zustellung nichts ändert, während Sie bestätigen, dass DKIM ausgerichtet ist; Protons eigene Empfehlung für die meisten Domains ist, danach auf p=quarantine hochzustufen. Behalten Sie nur einen _dmarc-Eintrag für die gesamte Domain.
- 8
Ihre Adresse aktivieren und als Standard festlegen
Nachdem die Registerkarten verifiziert sind, stellen Sie sicher, dass Sie tatsächlich eine Adresse auf der Domain haben: Settings → Identity and addresses → Addresses. Erstellen oder aktivieren Sie you@yourdomain.com und legen Sie sie als Standard fest, sodass ausgehende Post als Ihre benutzerdefinierte Domain gesendet — und DKIM-signiert — wird, statt als Ihre ursprüngliche proton.me- / pm.me-Adresse.
- 9
Die grünen Häkchen beobachten, dann eine echte Nachricht testen
Jede Registerkarte wechselt zu einem grünen Häkchen, sobald Proton den passenden Eintrag erkennt (meist Minuten, bis zu 48 Stunden). Hören Sie dort nicht auf: Senden Sie eine Nachricht an ein Gmail-Konto, öffnen Sie sie und nutzen Sie ⋮ → Original anzeigen, um DKIM: PASS mit d=yourdomain.com und DMARC: PASS zu bestätigen. Lassen Sie dann die Domain durch einen Domain-Health-Check laufen, um zu bestätigen, dass jeder Eintrag auflöst.
Einzutragende Einträge
Proton Mail erzeugt die genauen Werte in seinem Einrichtungsassistenten — diese zeigen die Struktur dessen, was Sie bei Ihrem DNS-Anbieter hinzufügen werden.
| Typ | Host | Wert |
|---|---|---|
| TXT | @ | protonmail-verification=abcdef1234567890abcdef1234567890Inhaberschaftsprüfung von der Verify-Registerkarte — beispielhaft; Ihr Code ist eindeutig. Halten Sie ihn veröffentlicht. |
| MX | @ | mail.protonmail.chPrimärer Posteingangsserver, Priorität 10. Empfang, nicht Authentifizierung. |
| MX | @ | mailsec.protonmail.chBackup-Posteingangsserver, Priorität 20. Löschen Sie alte MX-Einträge oder halten Sie Protons am niedrigsten. |
| TXT | @ | v=spf1 include:_spf.protonmail.ch ~allRoot-SPF — behalten Sie genau einen SPF-Eintrag; führen Sie diesen Include zusammen, wenn Sie bereits eine v=spf1-Zeile haben. Kostet 1 DNS-Lookup. Proton empfiehlt ~all. |
| CNAME | protonmail._domainkey | protonmail.domainkey.d3nc4x7wj5x2z.domains.proton.chDKIM-Selektor 1 (automatisch rotiert). Beispielhaft — kopieren Sie das exakte Ziel von Protons DKIM-Registerkarte; der d…-Hash ist für Ihre Domain eindeutig. |
| CNAME | protonmail2._domainkey | protonmail2.domainkey.d3nc4x7wj5x2z.domains.proton.chDKIM-Selektor 2. Alle drei sind für Protons automatische Schlüsselrotation erforderlich. |
| CNAME | protonmail3._domainkey | protonmail3.domainkey.d3nc4x7wj5x2z.domains.proton.chDKIM-Selektor 3. Beispielhaft — verwenden Sie den exakten Wert, den die DKIM-Registerkarte anzeigt. |
| TXT | _dmarc | v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.comDiesen fügen Sie selbst hinzu — einen pro Domain. Beginnen Sie mit p=none; Proton empfiehlt, auf p=quarantine hochzustufen. |
Behalten Sie genau einen SPF-TXT-Eintrag (v=spf1) auf Ihrer Root-Domain — führen Sie jeden Absender darin zusammen. Zwei SPF-Einträge sind bereits an sich ein Fehler.
Das Budget von 10 Lookups
SPF ist auf harte 10 DNS-Lookups begrenzt — wird dieser Wert überschritten, gibt SPF einen permerror zurück und validiert überall nicht mehr. Hier sehen Sie, was die Einrichtung von Proton Mail von diesem Budget verbraucht.
Proton Mail verbraucht 1 Ihrer 10 Lookups; ip4:- und ip6:-Mechanismen sind kostenlos.
DKIM
Bei DKIM macht Proton etwas, das sich wirklich von den meisten Postfach-Hosts unterscheidet, und es ist der Teil, der für Ihre Zustellbarkeit am wichtigsten ist. Statt eines statischen TXT-Schlüssels, den Sie einfügen, lässt Proton Sie drei CNAME-Einträge auf den Selektoren protonmail._domainkey, protonmail2._domainkey und protonmail3._domainkey veröffentlichen, die jeweils auf protonmail{,2,3}.domainkey.<hash>.domains.proton.ch verweisen (der <hash> ist eine für Ihre Domain eindeutige Kennung). Da es sich um an Proton delegierte CNAMEs handelt — nicht um Schlüssel, die Sie halten — behält Proton die privaten Schlüssel und nutzt die drei Selektoren, um automatisch (etwa alle sechs Monate) frische 2048-Bit-Schlüssel zu rotieren, ohne dass Sie je wieder DNS bearbeiten müssen: Es gibt immer einen aktiven Schlüssel, der Post signiert, während die anderen zurückgezogen und im Hintergrund neu generiert werden. Deshalb sind alle drei zwingend erforderlich — veröffentlichen Sie nur einen, hinterlässt die Rotation Ihre Post irgendwann signiert mit einem Schlüssel, den Ihr DNS nicht bewirbt, und DKIM beginnt still zu scheitern. Zeigen Sie die drei Werte auf der DKIM-Registerkarte an (Domain names → Ihre Domain → Review → DKIM), veröffentlichen Sie sie genau wie angezeigt und warten Sie auf das grüne Häkchen der Registerkarte; sobald Proton sie erkennt, beginnt es, jede ausgehende Nachricht mit d=yourdomain.com zu signieren. Diese Signatur richtet sich zu Ihrer Organisationsdomain aus, und genau das trägt Ihren DMARC-Pass — besonders wichtig bei Proton, wo man sich auf SPF-Ausrichtung nicht verlassen kann. Zwei betriebliche Hinweise: Wenn Sie DKIM zuvor auf die alte Weise mit einem manuellen protonmail._domainkey-TXT-Eintrag eingerichtet haben, löschen Sie diesen TXT-Eintrag, bevor Sie die CNAMEs hinzufügen, damit sie nicht in Konflikt geraten; und stellen Sie bei Cloudflare jeden CNAME auf „DNS only“ (graue Wolke), sonst löst er nicht zum Proton-Host auf.
DMARC
DMARC ist ein separater Richtlinien-Eintrag, den Sie selbst veröffentlichen — Proton zeigt ihn auf der DMARC-Registerkarte an, schreibt ihn aber niemals in Ihr DNS. Fügen Sie unter _dmarc.yourdomain.com einen TXT-Eintrag hinzu, der mit v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com beginnt. p=none ist reiner Überwachungsmodus: Es ändert nichts an der Zustellung, bittet Empfänger aber, Ihnen aggregierte (rua) Berichte zuzumailen, damit Sie bestätigen können, dass Ihre Proton-Post DKIM ausgerichtet zu Ihrer Domain besteht. Sobald Sie die Berichte ein bis zwei Wochen beobachtet haben und jede legitime Quelle authentifiziert, verschärfen Sie die Richtlinie — Protons eigene Empfehlung ist, für die meisten Domains auf p=quarantine als empfohlene Einstellung hochzustufen und auf p=reject für hochwertige Domains, die den stärksten Anti-Spoofing-Schutz benötigen (die Stufe, die Yahoo, PayPal und eBay verwenden). Steigern Sie jedoch bewusst: Proton warnt ausdrücklich, dass quarantine/reject die E-Mail-Weiterleitung und Mailinglisten stören können, da eine weitergeleitete Nachricht SPF verliert und vollständig darauf angewiesen ist, dass DKIM intakt bleibt. Behalten Sie genau einen _dmarc-Eintrag für die gesamte Organisationsdomain, egal wie viele Versender Sie nutzen; Subdomains erben die übergeordnete Richtlinie (überschreiben Sie eine bestimmte mit ihrem eigenen _dmarc-Eintrag oder dem sp=-Tag). Da Proton ausgerichtetes DKIM als d=yourdomain.com signiert, besteht eine korrekt konfigurierte Proton-Domain DMARC über DKIM, selbst wenn SPF sich nicht ausrichtet — genau deshalb dürfen Sie die DKIM-CNAMEs nicht überspringen.
Prüfen, ob es wirklich funktioniert hat
Verlassen Sie sich nicht allein auf die grünen Häkchen der Registerkarten — sie bestätigen nur, dass die Einträge auflösen, nicht dass Ihre Post durchgängig authentifiziert. Senden Sie einen echten Test von Ihrer benutzerdefinierten Domain-Adresse an ein Gmail-Konto, öffnen Sie ihn und wählen Sie ⋮ → Original anzeigen. Sie wollen DKIM: PASS mit signed-by / d=yourdomain.com (der aktive Selektor ist einer von protonmail, protonmail2 oder protonmail3, je nachdem, wo die Rotation gerade steht) und DMARC: PASS. SPF zeigt in der Regel ebenfalls einen Pass, aber achten Sie darauf, ob es zu Ihrer Domain oder zu Protons Return-Path ausgerichtet ist — wenn nur DKIM ausgerichtet ist, ist das bei Proton zu erwarten und DMARC besteht dennoch über DKIM. Eine schnelle zweite Meinung: Senden Sie eine Nachricht an eine Mail-Tester-Adresse, die 10/10 mit SPF und DKIM beide grün erzielen sollte. Sie können die rohen Einträge stichprobenartig prüfen mit dig CNAME protonmail._domainkey.yourdomain.com, dig TXT yourdomain.com und dig TXT _dmarc.yourdomain.com. Lassen Sie schließlich die Domain durch Qualisends Domain-Health-Check laufen, um zu bestätigen, dass der SPF-Include, alle drei DKIM-CNAMEs und der DMARC-Eintrag sauber auflösen und Ihr SPF unter dem 10-Lookup-Limit bleibt — und sobald aggregierte Berichte eintreffen, geben Sie einen in den DMARC-Report-Analyzer, um zu bestätigen, dass Proton als ausgerichtete, bestehende Quelle auftaucht.
Häufige Stolperfallen
- Abdeckung
Benutzerdefinierte Domains erfordern einen kostenpflichtigen Proton-Mail-Tarif (Mail Plus, Proton Unlimited, Proton Family/Duo oder Proton for Business). Mit einem kostenlosen Konto können Sie keine Domain hinzufügen oder authentifizieren — das ist das Erste, was Sie prüfen sollten, wenn der Bereich Domain names Sie nicht fortfahren lässt.
- DNS-Einrichtung
Verlassen Sie sich bei Proton nicht auf SPF für DMARC. Proton kontrolliert den ausgehenden Return-Path und gibt Ihnen keine Möglichkeit, ihn anzupassen, sodass SPF sich möglicherweise nicht zu Ihrer Domain ausrichtet. DKIM — signiert als d=yourdomain.com über die drei CNAMEs — ist der Mechanismus, der Ihren DMARC-Pass trägt. Überspringen Sie DKIM niemals.
- DNS-Einrichtung
Alle drei DKIM-CNAMEs sind erforderlich. Proton rotiert 2048-Bit-Schlüssel über die Selektoren protonmail, protonmail2 und protonmail3; veröffentlichen Sie nur einen, hinterlässt die Rotation irgendwann ausgehende Post signiert mit einem Schlüssel, den Ihr DNS nicht bewirbt, sodass DKIM Wochen später still zu scheitern beginnt.
- DNS-Einrichtung
Der DKIM-CNAME-Wert muss eine exakte Übereinstimmung sein. Viele Registrare hängen einen abschließenden Punkt an oder fügen Ihre Domain automatisch hinzu und verwandeln das Ziel in etwas, das Protons Prüfer ablehnt — kürzen Sie es, sodass es exakt mit dem Assistenten übereinstimmt, sonst erscheint das grüne Häkchen nie.
- DNS-Einrichtung
Migrieren Sie vom alten TXT-basierten DKIM? Löschen Sie den veralteten protonmail._domainkey-TXT-Eintrag, bevor Sie die CNAMEs hinzufügen. Ein veralteter TXT-Eintrag und der neue CNAME auf demselben Host geraten in Konflikt, und DKIM validiert nicht.
- DNS-Einrichtung
Stellen Sie bei Cloudflare jeden DKIM-CNAME auf DNS only (graue Wolke). Ein proxied CNAME mit oranger Wolke löst nicht zu *.domains.proton.ch auf und die Verifizierung schlägt fehl — ein sehr häufiger Proton-auf-Cloudflare-Stolperstein.
- Bricht die Authentifizierung
Behalten Sie genau einen SPF-TXT-Eintrag. Wenn Sie auch über Google Workspace, Microsoft 365 oder ein Newsletter-Tool senden, führen Sie include:_spf.protonmail.ch in die eine v=spf1-Zeile zusammen — zwei SPF-Einträge sind ein PermError. Und jede Sende-Subdomain benötigt ihr eigenes SPF, DKIM und DMARC.
Erstellen Sie Ihren SPF-Eintrag
Proton Mail ist unten bereits vorausgewählt. Fügen Sie alle weiteren Plattformen hinzu, über die Sie versenden, und veröffentlichen Sie anschließend den einen zusammengeführten Eintrag.
This domain's own servers
Authorize the domain itself, if it sends mail directly (not through a platform above).
Other senders & IPs
Anything not in the list — another provider's SPF host, or specific IP addresses.
We add the include: prefix — enter the hostname your provider documents.
Policy for everyone else
What receivers should do with mail from any server not listed above (the all mechanism).
- Publish it as a TXT record at your root domain — host @ (the bare domain), value the full string above.
- Keep only one SPF record per domain. Merge every sending source into this single line — a second TXT record starting v=spf1 makes both invalid.
- Stay at or under 10 DNS lookups. Each include:, a and mx counts, and an include can trigger more lookups inside itself — ip4: and ip6: are free.
Authentication published? The next step is sending to a clean, verified list.
Verify a listProton Mail SPF — FAQ
Weiterführende Lektüre
Sobald der Eintrag veröffentlicht ist, prüfen Sie mit dem Domain-Health-Check, ob alles korrekt aufgelöst wird, und lesen Sie mit der DMARC-Berichtsanalyse nach, wer in Ihrem Namen versendet. Durchsuchen Sie alle Versandquellen im Generator. Authentifizierung ist allerdings nur die halbe Zustellbarkeit — eine gelistete Absender-IP oder -Domain bringt Sie unabhängig davon, wie sauber Ihr SPF ist, im Spam-Ordner unter, deshalb lohnt es sich, mit Blacklist-Überwachung die Blacklists im Blick zu behalten.
Authentifiziert — jetzt die Liste sauber halten
SPF, DKIM und DMARC zu bestehen bringt Sie in den Posteingang; eine saubere Liste hält Sie dort. Verifizieren Sie Ihre — starten Sie kostenlos mit 100 Credits, ohne Kreditkarte.