Das ist nicht korrekt - der Abruf über Port 143 mit STARTTLS ist verschlüsselt.
STARTTLS ist genau dazu da, eine Verbindung auf Port 143 (IMAP Plain Port) zu verschlüsseln (Bei Fragen gerne hier nachlesen: https://datatracker.ietf.org/doc/html/rfc2595#section-3).
Heißt, wenn man die Verbindung via Port 143 aufgebaut hat, sendet das Mail-Programm den Befehl "STARTTLS", um eine TLS Verbindung aufzubauen, die dann wie auf Port 993 verschlüsselt ist.
Bei Port 993 erfolgt die Verschlüsselung direkt beim Aufbau der Verbindung, bei Port 143 wird das mit dem STARTTLS Befehl angestoßen.
Hier ein Beispiel:
# Port 143 ohne STARTTLS
telnet imap.vodafonemail.de 143
Trying 2.207.223.162...
Connected to imap.vodafonemail.de.
Escape character is '^]'.
* OK [CAPABILITY IMAP4rev1 ID SASL-IR STARTTLS LOGINDISABLED] IMAP ready
A LOGIN user@vodafone.de password
A NO [PRIVACYREQUIRED] Your connection is not secure. Activate SSL in your mail program, please.
Connection closed by foreign host.
# Port 143 mit STARTTLS
openssl s_client -quiet --starttls imap -connect imap.vodafonemail.de:143
Connecting to 2.207.223.162
depth=2 C=US, O=Internet Security Research Group, CN=ISRG Root X1
verify return:1
depth=1 C=US, O=Let's Encrypt, CN=R12
verify return:1
depth=0 CN=imap.vodafonemail.de
verify return:1
. OK CAPABILITY completed. Pre-login capabilities listed, post-login capabilities have more.
* OK [CAPABILITY IMAP4rev1 ID SASL-IR AUTH=PLAIN] IMAP ready
A LOGIN user@vodafone.de password
A NO LOGIN failed. Invalid login/password.
# SSL/TLS auf Port 993
openssl s_client -quiet -connect imap.vodafonemail.de:993
Connecting to 2.207.223.162
depth=2 C=US, O=Internet Security Research Group, CN=ISRG Root X1
verify return:1
depth=1 C=US, O=Let's Encrypt, CN=R12
verify return:1
depth=0 CN=imap.vodafonemail.de
verify return:1
* OK [CAPABILITY IMAP4rev1 ID SASL-IR AUTH=PLAIN] IMAP ready
A LOGIN user@vodafone.de password
A NO LOGIN failed. Invalid login/password.
Wie man sehen kann, wird eine Login-Anfrage ohne vorher STARTTLS auszuführen abgelehnt.
In den Capabilities wird auch dem RFC entsprechend "LOGINDISABLED" aufgeführt ([CAPABILITY IMAP4rev1 ID SASL-IR STARTTLS LOGINDISABLED]).
Die einzigen Befehle, die du so absetzen kannst, sind "STARTTLS" (um eine TLS Session aufzubauen) und "ID", mit der sich dein Mail-Programm beim IMAP-Server ankündigen kann.
Für einen Login und den nachgelagerten Mailabruf steht also immer eine verschlüsselte Verbindung zur Verfügung. Ich gehe auch stark davon aus, dass genau das eine Anforderung des hier schon ein paar Mal genannten BSI Zertifikats sein wird - keine unverschlüsselten Mailabrufe.
Bei dem zweiten Beispiel wird STARTTLS über openssl ausgeführt (--starttls imap).
Wie man hier sehen kann, ist "LOGINDISABLED" aus den Capabilities verschwunden und nun steht ein Login-Mechanismus zur Verfügung ([CAPABILITY IMAP4rev1 ID SASL-IR AUTH=PLAIN]).
Im Login-Versuch im Anschluss wird auch nicht mehr darauf hingewiesen, dass meine Session verschlüsselt werden muss, sondern dass die gegebenen Nutzerdaten falsch sind (wie zu erwarten bei den gegebenen Zugangsdaten).
Im dritten Beispiel kann man das Gleiche über Port 993 mit TLS und somit ohne STARTTLS sehen (kein "--starttls imap").
Wie man sieht, verhält sich der Server in Beispiel 2 und 3 identisch. In Beispiel 1 wird ein Login abgelehnt, weil die Session nicht verschlüsselt ist.
Heißt, ein unverschlüsselter Mailabruf via IMAP auf Port 143 ist nicht möglich.
Man kann also sorglos Port 143 mit STARTTLS verwenden - bei einigen Mail-Programmen ist das sogar der Standard.
Wichtig ist nur, dass auch STARTTLS im Mail-Programm aktiviert wurde, als man auf Port 143 umgestellt hat.
Hat man das bei Vodafone nicht getan, wird man sich nicht einloggen können und keine Mails abrufen können.
Bei anderen Providern, die ggf. auch ohne STARTTLS einen Login zulassen, würde man hingegen riskieren, dass der Mailabruf mitgelesen wird.
