SPF, DKIM und DMARC für Proton Mail einrichten

Eigene Domain bei Proton Mail: Verifizierung, SPF, die drei DKIM-CNAMEs und DMARC — Schritt für Schritt, wie Proton es im Assistenten abfragt.

5 Min. Lesezeit · Stand 2. September 2026

Proton Mail führt beim Anbinden einer eigenen Domain durch einen Assistenten, der alle nötigen DNS-Einträge nacheinander abfragt — Verifizierung, MX, SPF, DKIM, DMARC. Das ist vorbildlich; hier steht, was die einzelnen Schritte bedeuten und worauf zu achten ist. Diese Einrichtung betreiben wir selbst in Produktion — die Beispiele sind erprobt.

SPF

DNS-Eintrag vom Typ TXT:

Name / Host

beispiel.at

Wert

v=spf1 include:_spf.protonmail.ch ~all

Protons Vorschlag endet auf ~all. Sobald einige Wochen lang alle legitimen Absender sauber laufen, ist die Verschärfung auf -all der letzte Schliff.

DKIM: drei CNAME-Einträge

Proton nutzt drei Selektoren gleichzeitig — damit können Schlüssel im Hintergrund rotieren, ohne dass je eine Mail unsigniert rausgeht. Alle drei müssen gesetzt sein:

DNS-Eintrag vom Typ CNAME:

Name / Host

protonmail._domainkey.beispiel.at

Wert

protonmail.domainkey.<ihr-code>.domains.proton.ch

DNS-Eintrag vom Typ CNAME:

Name / Host

protonmail2._domainkey.beispiel.at

Wert

protonmail2.domainkey.<ihr-code>.domains.proton.ch

DNS-Eintrag vom Typ CNAME:

Name / Host

protonmail3._domainkey.beispiel.at

Wert

protonmail3.domainkey.<ihr-code>.domains.proton.ch

<ihr-code> ist ein domainspezifischer Wert — die exakten Ziele zeigt der Proton-Assistent. Nie abtippen, immer kopieren.

DMARC

DNS-Eintrag vom Typ TXT:

Name / Host

_dmarc.beispiel.at

Wert

v=DMARC1; p=quarantine; rua=mailto:dmarc@beispiel.at

Proton schlägt direkt quarantine vor. Wer auf Nummer sicher gehen will, startet mit p=none und Berichten — Stufenplan im DMARC-Artikel — und zieht dann nach.

Offizielle Anleitungen

Häufige Fragen

Der Assistent zeigt alles grün — bin ich fertig?

Fast. Protons Häkchen prüfen die eigenen Einträge. Was der Assistent nicht sieht: doppelte SPF-Einträge von einem früheren Anbieter oder vergessene Versanddienste (Newsletter, Shop), die zusätzlich ins SPF und mit eigenem DKIM gehören. Eine unabhängige Prüfung deckt das mit ab.

Warum drei DKIM-Selektoren statt einem?

Für die automatische Schlüsselrotation: Proton kann einen neuen Schlüssel auf dem nächsten Selektor scharf schalten, während der alte noch gültig ist. Für Sie heißt das: einmal drei CNAMEs setzen, nie wieder anfassen.