Exchange Hybrid Umgebung - MFA implementieren

Hallo Forum,

AAD Connect ist schon länger aktiv und Office 365 wird für Office-Lizenzen benutzt.

Lokal haben wir einen On-Prem Exchange 2013 Server der auch über OWA erreichbar ist.

Wir setzen SSO ein und MFA von Microsoft... Nur OWA ist leider "direkt" erreichbar und wurde auch schon Ziel von Brute-Force Attacken (da nur Mail-Adresse/Passwort benötigt wird).

Nun war die Idee eine Exchange Hybrid Classic Umgebung aufzubauen und den ganzen Mailverkehr über Office365 laufen zu lassen. Dies haben wir nun implementiert.
Vielleicht moven wir eines Tages alle Postfächer zu Office365, aber für den Moment soll eine koexistenz bestehen.

Ich wäre jetzt davon ausgegangen, dass auch die On-Prem Postfächer über mail.office365.com erreichbar sind und wir den direkten Zugriff auf OWA abschalten können. Ich kriege das aber so nicht hin...

Aktuell kann ich über OWA nur interne Postfächer öffnen und über office365 nur Online Postfächer.

Was funktioniert: gegenseitiger Mail-Versand und Kalender-Einsicht.

Mache ich da einen Denkfehler oder habe ich in der Konfig etwas vergessen? Hat es mit den Connectoren zu tun?

Vielen Dank. Manuwj