Nein, ist ein Denkfehler ... wenn das so wäre, wie Du es andeutest, müßte ja auch der AVM-Server unter myfritz.net die "Kontrollen" nach dem ACME-Protokoll über sich ergehen lassen. Dazu müßte dann auch der private Schlüssel zu dem beantragten Zertifikat auf dem AVM-Server liegen und damit kann man das gleich wieder in die Tonne treten.
Bei der DNS-Methode der Prüfung geht es nur um die "Herrschaft" über die IP-Adresse, die (aktuell) hinter dem zertifizierten Namen liegt ... und damit hat AVM mit "myfritz.net" nur noch insoweit etwas mit der Zertifizierung zu tun, als daß dort der DNS bereitgestellt wird. Nach der Abfrage der IP-Adresse ist das aber vorbei und der Rest erfolgt auf der Box selbst (bzw. generell auf dem zu zertifizierenden Server).
Von Let's Encrypt wird dann also nur noch der Server hinter dem DNS-Namen kontaktiert - so eine DNS-Abfrage kann aber jeder machen, egal für welche Subdomain. ( Das "Geheimnis" am AVM-Service ist nur, daß die Hostnamen für diese Adressen ziemlich unhandlich sind und ein Fremder diese Namen nicht wissen/vorhersagen kann. Ansonsten wäre es auch für jeden Angreifer ein Leichtes, ganz gezielt nur FRITZ!Boxen anzugreifen, solange bei diesem myfritz.net-DynDNS-Service nur FRITZ!Boxen registriert sein können ... das würde jede Menge "Arbeit" sparen, wo erst einmal durch Fingerprinting ermittelt werden muß, was da nun für ein Router hinter irgendeiner IP-Adresse werkelt. )
Kurz: Für ein LE-Zertifikat braucht man keine Kontrolle über den Name-Server für die entsprechende Domain (solange der gewünschte Name existiert und auf den richtigen Host zeigt), sondern über das Ziel hinter dem DNS-Namen, also den Host selbst.
AVM hat für das Handling des LE-Zertifikats ein neues Programm entwickelt ... das liegt auch nur als Binary vor und nicht etwa als Shell-Skript, wo man mal schnell noch etwas ergänzen könnte. Wobei das alles noch aus den Erkenntnissen bei der einzelnen Labor-Version für die 7490 irgendwann aus dem September stammt - aber ich gehe davon aus, daß AVM da nichts Wesentliches mehr geändert hat.
Die Verwendung des LE-Zertifikats (das gesondert gespeichert wird, es ist also immer noch möglich, auch ein eigenes Zertifikat für die anderen Namen hochzuladen) ist (bzw. war) auch an den korrekten "Host"-Header gebunden bzw. genauer an den passenden SNI-Header - nur wenn die TLS-Anfrage wirklich für den MyFRITZ!-Namen erfolgte, wurde das LE-Zertifikat benutzt (/var/flash/letsencrypt_cert.pem), ansonsten das selbst-signierte bzw. vom Besitzer hochgeladene (/var/flash/websrv_ssl_cert.pem).
