Okay, dann eben so: Wenn mein E-Mail-Client – und nur darum geht es hier, denn bei einem Webmail trifft weder STARTTLS noch SSL/TLS zu, da nur die https-Verbindung zum Webmail verschlüsselt sein muss (oder als http-Verbindung eben ungesichert) – ... wenn also mein E-Mail-Client eine Verbindung zum Server aufbaut, macht dieser diese immer unverschlüsselt bei STARTTLS. Wenn man also Man-in-the-Middle-Attacken versteht, weiß man auch, dass man an genau dieser Stelle – dem ersten Verbindungsaufbau eben – immer verwundbar ist.