stets verschlüsselt?

Laut https://fraunhofer.sharepoint.com/sites/it-sicherheit/SitePages/netze_noc_services_ksx_ksmail_routing.aspx soll

Der E-Mailversand zwischen KSmail und dem jeweiligen Kommunikationspartner (z.B. zentraler MTA, FhI-Client, …) ist stets verschlüsselt, solange im Container entweder ein self-signed Zertifikat (default) oder ein gültiges und korrekt eingebundenes separates Zertifikat verwendet wird.

in /etc/postfix/main.cf findet sich aber trotz Zertifikat die folgende Konfiguration:

# TLS: Server (incoming)
smtpd_tls_security_level = may
smtpd_tls_protocols = >=TLSv1.2
smtpd_tls_key_file = /etc/postfix/cert/key.pem
smtpd_tls_cert_file = /etc/postfix/cert/crt.pem
smtpd_tls_session_cache_database = lmdb:${data_directory}/smtpd_scache
smtpd_tls_loglevel = 1

# TLS: Client (outgoing)
smtp_tls_security_level = may
smtp_tls_protocols = >=TLSv1.2
smtp_tls_session_cache_database = lmdb:${data_directory}/smtp_scache
smtp_tls_loglevel = 1

may ist aber laut https://www.postfix.org/postconf.5.html#smtp_tls_security_level Opportunistic TLS. Vielleicht einfach ein wenig unglücklich dokumentiert.