Oder du nimmst einen kleinen V-Server mit nginx als Reversproxy dann kannst du mit deinen Zertifikaten arbeiten.
Die Frage ist halt ob es der Aufwand und das zusätzliche Glied in der Kette wert ist.
Ich sehe hier nur die Gefahr, dass dann alle Requests, die beim netcup-Mailserver aufschlagen, von der selben IP kommen. Wenn da einer ein falsches Passwort hat, werden eventuell alle ausgesperrt.