Exchange 2016 SMTP Relay mit Authentifizierung - Benutzer soll mit beliebiger autorisierter Absenderadresse versenden können

Hallo zusammen,

ich bin gerade dabei eine Migration von Exchange 2010 von 2016 durchzuführen. Hier ist nur ein Exchange-Server in Betrieb (VM). Postfächer + öffentliche Ordner sind umgezogen, der normale Betrieb funktioniert auch ohne Probleme.
Aktuell läuft noch der alte Exchange 2010 parallel, weil ich bei der Migration eines Empfangsconnectors hänge, welcher für das ERP-System zuständig ist.

Das ERP-System erfordert zwingend eine Authentifizierung gegenüber des SMTP-Servers, und auf der anderen Seite, soll dort von jeder autorisierten Mail-Adresse versendet werden dürfen.

Sprich in der ERP-Konfiguriation ist ein bestimmter Exchange-Benutzer für den SMTP-Versand hinterlegt, aber es soll dann abhängig vom angemeldeten Benutzer mit der jeweiligen Mail-Adresse des Benutzers versendet werden, z.B. mit meier@test.de oder mueller@test.de.

Dies konnte ich damals bei dem Exchange 2010 problemlos mit folgenden Befehl lösen:

Get-ReceiveConnector -Identity "exchange2010\ERP-Connector" | Add-ADPermission -User "domain\erp-mailuser" -ExtendedRights ms-exch-smtp-accept-authoritative-domain-sender

Auf dem neuen Exchange funktioniert dies allerdings nicht mehr. Ich konnte bisher auch keine Lösung dazu finden. An sich ist mir bewusst, dass es mittlerweile eine andere Transport-Service-Struktur gibt.
Aber ich bekomme es einfach nicht hin, die alte Konstellation mit einem neuen FrontendTransport-Connector zu realisieren.

Ich erhalte dann immer wieder diese Meldung:
"5.7.60 SMTP; Client does not have permissions to send as this sender."

Erst wenn ich bei den einzelnen Exchange-Benutzern das Recht "Senden als" hinterlege, funktioniert der Versand. Aber genau dies würde ich gerne vermeiden und auf Connector-Ebene lösen, wie es vorher bereits der Fall war.

Der neue Empfangsconnector auf dem Exchange 2016 ist identisch konfiguriert, abgesehen davon, dass er die Rolle FrontendTransport hat.

Der Empfangsconnector auf dem alten Exchange 2010 ist wie folgt konfiguriert:

Rolle:
- Hubtransport

Authentifizierung:
- TLS 
- Standardauthentifizierung

Berechtigungsgruppen:
- Exchange-Benutzer

Remotenetzwerkeinstellungen:
- IP-Adresse des betroffenen ERP-Servers

Netzwerkadapterbindungen:
- Alle verfügbaren IPv4
- Port 25

Ich habe einige Zeit mit Recherche und Tests verbracht, komme aber nicht weiter.
Hat vielleicht jemand netterweise einen konstruktiven Tipp für mich?

Schöne Grüße,
Simon