Citrix Secure Gateway 3.3 + Receiver 4.1 SSO passthrough klappt nicht

Hallo zusammen,

ich sitze hier seit einiger Zeit vor einem Problem: SSO "passthrough" mit Citrix XenApp 6.5 / Secure Gateway 3.3 / Receiver 4.1.

Die Umgebung ist nach den gängigen, offiziellen Citrix-Anleitungen konfiguriert, ein Auszug hierzu:

- CSG IIS Windows Auth. eingeschaltet
- CSG PNAgent Anmeldung via Passthrough erlaubt, Kerberos an
- CSG läuft über ein korrektes SSL Zertifikat (nicht selfsigned)
- Internet Explorer: CSG in "Local Domain" aufgenommen
- Client: Receiver installiert mit Parametern /includeSSON ENABLE_SSON=Yes /STORE0="PNAgent;https://meinCSG.domain/Citrix/PNAgent/config.xml;on;MeinCSG"
- Client: GPO Einstellungen via Citrix-Template vorgenommen, Kerberos auch an
- Client: SSOSRV läuft, Ab-/Anmeldung und PC-Neustart sind erfolgt
- Client: Receiver Regkeys und AppData wurden geleert
- Client: Win 7 Pro, aktueller Patchstand
- beteiligte Server: Win 2008 R2, aktueller Patchstand

Wird das alte Online Plugin oder der Internet Explorer verwendet, funktioniert "passthrough" ohne Probleme. Bei Verwendung des Receivers erscheint die PNAgent-Login-Seite und eine manuelle Anmeldung wird notwendig (welche auch funktioniert).

Bekannte Probleme bei unseren ersten Tests mit dem Receiver: Seite muss HTTPS sein, Trusted und darf kein selfsigned Zertifikat verwenden. All dies erfüllen wir, weshalb der manuelle Login ja auch funktioniert.

Habe diesbezgl. schon unzählige weitere Anleitungen durch und langsam drängt sich mir die Frage auf: Können CSG 3.3 und Receiver 4.1 zusammen kein SSO oder übersehe ich die ganze Zeit etwas?

Danke schonmal für jeden Hinweis!