selbstsigniert ist schwierig, da man dann sowohl den Syncer, als auch Dovecot als auch SoGo dazu bringen müsste, das Zertifikat zu akzeprieren. Der Syncer ist kein Problem - der kommt ja von uns, aber die anderen Beiden sind schwierig, da sie von Mailcow kommen.
Also wenn du unbedingt Verschlüsselung brauchst, würde ih dir empfehlen, einen reverse Proxy mit einem grültigen Zertifikat zu benutzen, siehe hier: