Ein weitere Schwäche beruht darauf, dass der Befehl STARTTLS unverschlüsselt übertragen wird. Es ist daher denkbar, dsas Filtersysteme sowohl das Angebot von STARTTLS nach einem EHLO als auch die Anforderung durch den Client verändern, so dass beide Systeme glauben, dass keine TLS-Verschlüsselung möglich sei und dann eine abhörbare unverschlüsselte Verbindung aufbauen. Beim Einsatz von STARTTLS als Sicherheitsfunktion muss daher sichergestellt werden, dass kein Fallback ohne Verschlüsselung erfolgt. Selbst dann muss sichergestellt werden, dass die verwendeten Zertifikat auch zur Gegenstelle passen.