Exchange Server 2016 - Outlook meldet falsches Zertifikat - Ich übersehe etwas und bitte um Hilfe

Moin Kollegen,

in einer homogenen Windows 2016-Umgebung tut ein durchgepatchter Exchange 2016 seinen Dienst in Verbindung mit Outlook 2019.
DNS läuft auf Split Brain:

(DNS verfremdet)
interne Windows_Domäne: toll.local
externe Domäne: toll.de

Exchange_Server als stand-a-lone VM: mx1.toll.local
in Externer Domäne: autodiscover.toll.de , mail.toll.de, smtp.toll.de
Alle externen Namen werden korrekt auf die interne IP des Servers aufgelöst.

In der internen local-Domäne ist der passende SRV-Record auf autodiscover.toll.de gesetzt.

Im Exchange sind die virtuellen externen Verzeichnisse auf mail.toll.de angepasst.
In den Connectoren soweit möglich antwortet der Exchange-Server mit FQDN mail.toll.de. Die Connectoren, die als Berechtigungs-Gruppe "Exchange-Server" drin haben, lassen sich nicht umstellen.

Die Connectoren nutzen ein offizielles Wildcard-Zertifikat *.toll.de

Aber dennoch: Gegenüber Outlook meldet sich der Server immer noch mit mx1.toll.local. Es wird aber das offizielle Zertifikat benutzt.
Dementsprechend kommt in Outlook immer ein Popup hoch, das zuerst bestätigt werden muss.

Ich habe einen produktiven Parallelaufbau, der dem hier sehr ähnlich ist und dort funktioniert es fehlerlos.

Was übersehe ich?

Danke für jeden Augenöffner!

Viele Grüße
bdmvg