Wow, das war eine schlechte Änderung.
enable_starttls wird die Verwendung von starttls ERFORDERN, aber enable_starttls_auto ist opportunistisch – es wird TLS nur aushandeln, wenn es angeboten wird.
Und wenn der Mailserver über initiales TLS verbunden wurde, wird er kein starttls anbieten:
○ → openssl s_client -connect localhost:5587 -starttls smtp
250 CHUNKING
EHLO localhost
250-testmailrelay
250-PIPELINING
250-SIZE 10240000
250-VRFY
250-ETRN
250-AUTH PLAIN
250-ENHANCEDSTATUSCODES
250-8BITMIME
250-DSN
250 CHUNKING
Warum um alles in der Welt haben sie das getan? 
Die Schwierigkeit hierbei ist, dass wir diese Konfiguration von vornherein hätten nicht anbieten dürfen, es hätte etwas sein sollen wie:
DISCOURSE_SMTP_TLS_MODE = starttls_auto # [ none | starttls | starttls_auto (default) | tls ]