Ich habe mich doch jetzt damit auseinander gesetzt.
Ich werde einen angepassten Certbot benutzen, da ich bei Netcup bin. Der Certbot ist in einem Docker Container.
Der erstellt das Zertifikat auch richtig, so das der CN=mail.domain.de ist.
Die Zertifikate kopiere ich per Hand.
Für den Renewal-Prozess habe ich ein Script erstellt, was den Renewal-Prozess nach 65 Tagen durchführt. Neue Zertifikate anfordnern, kopieren der Chain und des PrivateKeys und dann neustarten der Docker Container.