d00p

Funktioniert super, gerade getestet. Wenn du auf aktuellem Stand bist beachte bitte "Eigene vHost-Einstellungen", "Eigene SSL vHost-Einstellungen" und "Nicht-SSL vHost-Einstellungen in SSL-vHost inkludieren". 
Hast du z.B. eine Domain mit SSL-Redirect und in den "Eigene vHost-Einstellungen" etwas drinstehen wird dies per default NICHT in den SSL-Vhost mit übernommen, wenn "Nicht-SSL vHost-Einstellungen in SSL-vHost inkludieren" nicht aktiviert ist

Gefixed in https://github.com/Froxlor/Froxlor/commit/f0b36c03adfb6cd512b340f0af9043e0c01f3880 - beim bearbeiten der Domain sollte es nun korrekt gespeichert werden, danke noch mal für den Hinweis

So, im Grunde war da nichts komisches. War alles ok. 2 Leichen aus der Domain-SSL Tabelle entfernt (ohne Verknüpfung zur Domain). Bei einer Domain (wie auch immer du das geschafft hast) war Let's Encrypt und SSL Weiterleitung aktiviert aber keine SSL-IP zugeordnet und bei zweien hatte er Probleme mit dem www-Alias, da gab es laut Let's Encrypt ein Timeout beim Validieren, ohne www-Alias ging das super durch, genau wie für die Froxlor-Domain. Sollte jetzt alles wieder SSL gesichert sein und laufen

Naja, deine SRV Einträge sind auch falsch
- @ 3600 IN SRV 100 1 443 _sip._tls.sipdir.online.lync.com. - @ 3600 IN SRV 100 1 5061 _sipfederationtls._tcp.sipfed.online.lync.com. + _sip._tls 3600 IN SRV 100 1 443 sipdir.online.lync.com. + _sipfederationtls._tcp 3600 IN SRV 100 1 5061 sipfed.online.lync.com. Siehe Auszug aus der Doku die du im ersten Post gelinkt hast:
 

Punkt am ende der domain, content sollte so aussehen:
autodiscover IN CNAME 3600 autodiscover.outlook.com. Ansonsten zeig uns doch auch bitte mal ein screenshot des DNS Editors mit deinen einträgen oder die erstellte zone, etc. irgendwas mit dem man arbeiten kann

Zertifikat in der Übersicht löschen und Cron abwarten oder manuell abfeuern

Kleiner Typo im Zertifikatsnamen und zur Sicherheit einfach einmal die Froxlor Configs neu drübergebügelt - schon läufts

Daran erkennt man das. Er kann nicht auf 443 binden, weil er da schon drauf gebunden ist. Zum einen löscht du jetzt das:
Aus dem SSL-Vhost. Und aus dem nicht-ssl vhost (port 80) löschst du folgende Zeilen:
Dann mit "service apache2 restart" den webserver neustarten, dann sollte es wieder gehen.
Dann in froxlor IP/Port bearbeiten, bei Port 80 deaktivierst du bitte "SSL IP" und bei der IP/Port für port 443 entfernst du das Häkchen bei "Erstelle Listen-Eintrag"

Puuh, 127.0.0.1 Mal geändert in "localhost"?

Bei Extrausers braucht man Ansich kein nscd, schmeiß runter den Müll

The files there are only stored temporarily for validation reasons (validation tokens). The folder should be empty most of the time.
There are no meta files or anything else. It's all in the database.

Du hast in der Domain übrigens  eine IPv4 und eine IPv6 Adresse hinterlegt...in deinem Vhost ist aber nur eine von beiden, du solltest alle IPs in froxlor eintragen, sonst kommen so leute wie ich, mit IPv6 verbindung nicht dahin wo du sie haben willst

/etc/dovecot/conf.d/10-auth.conf -> disable_plaintext_auth = no
dovecot restart, nochmal probieren, und ansonsten logs logs logs /var/log/mail*

Dann erstelle doch einfach pool.d-custom, erstelle dort eigene pool-configs und inkludiere pool.d-custom ebenfalls in der php-fpm.conf

Wildcard geht sowieso nur mit DNS validation, und das implementiert froxlor so nicht, da nur 1% der user überhaupt einen eigenen Nameserver betreiben.
Zudem sollte das durch die Verwendung von acme.sh in der aktuellen 0.10.0-rc1 eigentlich wunderbar gehen (bis auf wildcard :P)

Und das? Auch konfiguriert laut Vorlage?

--w--w--w- ist ja Quatsch.... Schreiben aber nicht lesen? Deine umask ist wohl kaputt

No, web-filemanager are dangerous. Customers should just use FTP