← Alle Artikel

Eigene Domain bei Proton Mail: SPF, DKIM und DMARC Schritt für Schritt

Proton Mail mit eigener Domain: der Assistent unter Einstellungen → Domain-Namen, die fünf Schritte (Verifizieren, Adressen, MX, SPF, DKIM/DMARC), der SPF-Include _spf.protonmail.ch, die drei DKIM-CNAMEs und Protons DMARC-Empfehlung — aus eigenem Betrieb erprobt.

6 Min. Lesezeit · Stand 7. September 2026

Bei Proton Mail führt ein Assistent durch die eigene Domain: in den Einstellungen → Alle Einstellungen → Domain-Namen → „Domain hinzufügen“. Er fragt nacheinander Verifizierung, Adressen, MX, SPF, DKIM und DMARC ab und zeigt zu jedem Schritt die exakten DNS-Einträge, die Sie beim DNS-Anbieter Ihrer Domain (z. B. World4You) anlegen. Später erreichen Sie dieselben Werte über den Knopf „Überprüfen“ neben der Domain mit je einem Reiter für SPF, DKIM und DMARC. Diese Einrichtung betreiben wir für mailampel.com selbst — die Werte unten sind an unserer eigenen Domain geprüft.

Schritt 1: Domain hinzufügen und verifizieren

• Einstellungen → Alle Einstellungen → Domain-Namen → „Domain hinzufügen“, Domainnamen eingeben.
• Verifizieren: den angezeigten TXT-Eintrag (protonmail-verification=…) auf der Domain anlegen und im Assistenten prüfen lassen.
• Adressen anlegen: mindestens eine Adresse mit der neuen Domain einem Benutzer zuordnen.
• MX: die beiden MX-Einträge aus dem Assistenten setzen — Protons Einträge müssen die niedrigsten Prioritätswerte haben, alte MX-Einträge des Vorgängers entfernen.

Schritt 2: SPF

Proton verlangt, den Include in einen einzigen SPF-Eintrag aufzunehmen — „stellen Sie sicher, dass Sie nur einen SPF-Eintrag haben“. Für reinen Proton-Versand:

Schritt 3: DKIM — drei CNAME-Einträge

Proton nutzt drei Selektoren gleichzeitig, damit Schlüssel im Hintergrund rotieren können, ohne dass je eine Mail unsigniert rausgeht. Proton sagt es ausdrücklich: alle drei DKIM-Einträge anlegen. Die Ziele enthalten einen domainspezifischen Code — den Assistenten kopieren, nie abtippen:

Schritt 4: DMARC

Proton empfiehlt für die meisten Domains p=quarantine als Einstieg und später p=reject. Wer noch andere Versanddienste hat oder Berichte erst sehen will, startet nach dem Stufenplan mit p=none und zieht nach — beides ist mit Proton problemlos:

Schritt 5: Warten und prüfen

Proton nennt je nach bisheriger TTL Minuten bis Stunden, bis die Einträge greifen; einzelne Empfänger halten alte Werte bis zu ein bis drei Tage. Danach die Domain von außen prüfen — Protons Häkchen sehen nur die eigenen Einträge, nicht den doppelten SPF eines Vorgängers oder vergessene Versanddienste — und eine Testmail an ein Gmail-Postfach senden: „Original anzeigen“ muss spf=pass, dkim=pass, dmarc=pass zeigen.