Du könntest dir ein eigenes Roundcube installieren. Anders wird es vermutlich nicht umzusetzen sein.
Benutze die generische Adresse. Die Unterscheidung der Mailaccounts funktioniert nicht über die Domain des Webmailers sondern über die Mailadresse, die man da eingibt.
Es gäbe in der Plesk E-Mail Host Konfiguration sogar einen Eintrag "SSL/TLS-Zertifikat für Webmail", aber hier kann kein LE Zertifikat ausgewählt werden:
netcup_DE_WCP_Mailhost_SSL_Zertifikat_2026-09-09.png
In der Standard DNS Konfiguration eines Webhosting Pakets zeigt der A Rekord für webmail auf die IPv4 Adresse 46.38.249.153 und damit vermutlich webmail01.netcup.net als common name.
Es gibt vermutlich zwei IP Adressen zum netcup "Webmailserver 01" mit jeweiligem Webserver dazu und für beide wirst Du kein individuelles LE Zertifikat beantragen können.
webmail01.netcup.net (46.38.249.153)
webmail01.webhosting.systems (46.38.225.138)
Neben der von Dean genannten Option mit dem Aufsetzen einer Roundcube Instanz, könnte man auch einfach eine Frame oder Standard Weiterleitung auf eine der beiden netcup Adressen vornehmen. Nach Löschung des webmail A DNS Eintrags auch unter webmail.domain.de wenn man möchte. 
Schamlos bewerbe ich also die dritte Option mit der Installation einer eigenen Webmail bzw. konkret Roundcube Installation auf dem Webhosting unter einer Subdomain:
Setup of Roundcube as webmail frontend on webhosting (das Tutorial ist schon etwas veraltet von der Roundcube Version her)
Bei mir kann ich ein Zertifikat für webmail anlegen und das sieht auch brauchbar aus.
In dein Domaineinstellungen unter SSL konnte ich auswählen ob webmail mit geschützt werden soll. acme challenge musste ich dann entsprechend auch eintragen.
Ich habe in der Konfig auch roundcube als webmail konfiguriert, aber mein DNS Eintrag webmail.domain.tld existiert nicht und löst somit im Browser auch nicht auf.
Alles klar, vielen Dank euch für die Antworten und hilfreichen Vorschläge!
