Sooo, ich habe eine Lösung. Ich weiß zwar immer noch nicht so recht, warum es nicht geklappt hat, aber gut.
Der Hinweis auf Port 143 = unverschlüsselt hat mich in die richtige Richtung geschoben. Bisher habe ich STARTTLS auf Port 143 verwendet, dabei erfolgt ja erst eine unverschlüsselte Kontaktaufnahme zum Server, dann handeln Client und Server die Verschlüsselung aus. Damit kommt anscheinend der aktuelle TB nicht klar, es sei denn, es ist bereits mit einer älteren Version ein Konto angelegt und dabei auch eine Sicherheits-Ausnahmeregel für Port 143 erstellt worden.
Ich habe jetzt auf SSL/TLS auf Port 993 umgestellt und siehe da, es klappt. Da das wohl sowieso das sicherheitstechnisch bessere Verfahren ist, bin ich damit auf jeden Fall zufrieden.
Vielen Dank für den hilfreichen Hinweis!