diff --git a/README.md b/README.md
index 1359ec9d..810ef1a9 100644
--- a/README.md
+++ b/README.md
@@ -170,12 +170,79 @@ Das System unterstützt die automatische Erstellung von E-Mail-Weiterleitungen a
    - **Name**: Bezeichnung (z.B. "Plesk Hauptserver")
    - **Typ**: Plesk/cPanel/DirectAdmin
    - **API-URL**: Server-URL (z.B. `https://server.de:8443`)
-   - **Benutzername/Passwort**: API-Zugangsdaten
+   - **API-Key** _(empfohlen bei Plesk)_: Key aus Plesk (siehe unten), alternativ Benutzername/Passwort
+   - **Benutzername/Passwort**: Nur wenn kein API-Key vorhanden
    - **Domain**: E-Mail-Domain (z.B. `stressfrei-wechseln.de`)
    - **Standard-Weiterleitung**: Zusätzliche Weiterleitungsadresse (optional)
 3. Provider als "Standard" und "Aktiv" markieren
 4. Verbindung testen
 
+### Plesk: API-Key anlegen
+
+Der API-Key ist die empfohlene Authentifizierungsmethode (sicherer als Passwort, kann pro
+Anwendung vergeben und widerrufen werden).
+
+**Variante 1: Über die Plesk-Oberfläche (einfachster Weg)**
+
+1. In Plesk als Admin einloggen
+2. Oben rechts auf den **eigenen Namen** → **"Mein Profil"** (oder direkt URL `/admin/my-profile/`)
+3. Tab **"API-Token"** oder **"API-Schlüssel"** öffnen
+4. **"API-Schlüssel erstellen"** (bzw. "Add API Key")
+5. Beschreibung vergeben (z.B. "OpenCRM")
+6. Den angezeigten Schlüssel **sofort kopieren** – er wird nur einmal angezeigt!
+7. Im CRM bei "API-Key" einfügen
+
+> **Hinweis:** Bei manchen Plesk-Versionen ist die Option unter
+> **Tools & Einstellungen** → **API-Schlüssel** oder **Werkzeuge & Einstellungen** →
+> **API-Tokens** zu finden. Wenn der Menüpunkt fehlt, muss ggf. die **REST API**
+> Extension installiert werden (siehe Variante 2).
+
+**Variante 2: Über die Kommandozeile (SSH als root)**
+
+Falls der API-Key-Button in Plesk nicht vorhanden ist, lässt er sich auch per SSH erstellen:
+
+```bash
+# API-Key generieren (läuft nicht ab)
+plesk bin secret_key --create -ip-address <IP-DEINES-SERVERS> -description "OpenCRM"
+
+# Beispiel:
+plesk bin secret_key --create -ip-address 0.0.0.0 -description "OpenCRM"
+```
+
+Der Befehl gibt den Key direkt zurück. Diesen kopieren und im CRM eintragen.
+
+**Alle API-Keys anzeigen:**
+```bash
+plesk bin secret_key --list
+```
+
+**API-Key löschen:**
+```bash
+plesk bin secret_key --delete <KEY>
+```
+
+### Plesk: REST API aktivieren (falls nicht vorhanden)
+
+Bei älteren Plesk-Versionen oder Custom-Installationen kann es sein, dass die
+REST API fehlt. Dann:
+
+1. **Tools & Einstellungen** → **Updates** → **Erweiterungen hinzufügen/entfernen**
+2. Nach **"REST API"** suchen und installieren
+3. Plesk-Neustart (meist nicht nötig, aber zur Sicherheit)
+
+### Plesk: Firewall-Hinweis
+
+Der CRM-Server muss den **Plesk-Port 8443** (Standard) erreichen können. Bei Plesk-Firewall:
+
+1. **Tools & Einstellungen** → **Firewall**
+2. **"Plesk-Dienst – Panel"** (Port 8443) für die IP des CRM-Servers erlauben
+
+Bei reiner Linux-Firewall (ufw/firewalld):
+```bash
+# Beispiel ufw
+ufw allow from <CRM-SERVER-IP> to any port 8443
+```
+
 ### Verwendung
 
 Beim Anlegen einer Stressfrei-Wechseln Adresse im Kundenbereich erscheint die Checkbox **"Beim E-Mail-Provider anlegen"**, wenn: