Postfix läuft ja chrooted, dovecot allerdings kann man mit apparmor mit wenig Aufwand sicherer machen. Ich habe da Profile angepasst, die prima auf enforce laufen, allerdings müssten die angepasst werden, weil bei dir die Mails unter /var/vmail liegen und du eine globale Sieve-Conf benutzt. Bei Interesse schicke ich sie dir.