Für die Verschlüsselung sind bereits existierende TLS-Zertifikate und Schlüssel Voraussetzung. Für den FTP-Server verwende ich die selben wie für den Apache Webserver.
Datei /etc/proftpd.conf editieren:

PassivePorts		49152 49160	# Portrange for passive mode
MaxClients		2
MaxClientsPerHost	1
IdentLookups 		Off		# Blocked port 113 slows down
<IfModule mod_tls.c>
    TLSEngine		on
    TLSLog		/var/log/proftpd.log
    TLSProtocol		TLSv1		# no support for SSLv2
    TLSRequired		off		# "on" disables unencrypted connections
    TLSVerifyClient	off		# no verification necessary
    # Using certificates of Apache webserver
    TLSRSACertificateFile /etc/apache2/conf/ssl.crt/server.crt
    TLSRSACertificateKeyFile /etc/apache2/conf/ssl.key/server.key
    AllowForeignAddress on		# otherwise only localhost is accepted
<IfModule>

Im Router nicht vergessen, die Ports für die passiven Verbindungen zu weiterzuleiten.