MDM per Intune bei BYOD und Exchange On-Premise

Hallo,
wir haben vor kurzem ein MDM-Projekt mit Intune gestartet und sind da aktuell am Testen.
Konkret geht es im 1. Schritt um die Bereitstellung von MS Outlook auf IOS und Android Geräten.
Da sich die Endgeräte zu über 90% nicht im Besitz des Unternehmens sind (BYOD) ist ein komplettes Gerätemanagement nicht möglich, sondern nur die Bereitstellung von per Intune gemanagten Apps. Ziel ist, dass Unternehmensemails/Attachements ausschließlich in den gemanagten Apps gelesen/bearbeitet werden können.
Wir haben aktuell ein Profil für Android-Geräte in Intune eingerichtet und die folgenden Android-Apps gemanaged bereit gestellt.
- Android min. Version 8.1
- MS Outlook
- MS OneDrive
- MS Office

Das Procedere funktioniert auch inzwischen wie erwartet:
Mitarbeiter installiert die MS Unternehmensportal-App auf seinem Gerät -> Meldet sich an Portal an -> Gerät übernimmt die Intune-App Konfiguration -> gemanagte Apps werden auf dem Gerät des Mitarbeiters installiert -> Mitarbeiter melden sich an gemanagter Outlook App und kann die Mails/Attachments ausschließlich im Rahmen der gemanagten Apps auf seinem Gerät bearbeiten.
Alles gut?
Leider nein, da der Mitarbeiter genau so direkt die MS Outlook App auf seinem Gerät installieren kann (ohne die MS Unternehmens-Portal App). Er meldet sich an der Outlook App an und Voila, schon kann er völlig ungemanaged auf seine Emails zugreifen und z.B. Attachments auch wahllos auf seinem privaten Gerät speichern.
Genau das wollen wir natürlich verhindern.
Ich habe das mal auf die Spitze getrieben und kann mit einem alten Android 6 Device mit ungemanagter Outlook App zugreifen.

Meine Frage ist, wie bekommt man es konfiguriert, dass der Exchange eine Anfrage von einem ungemanagten Gerät/Outlook App ablehnt bzw. verhindert?
Unser Exchange ist z.Zt. noch On-Premise, und wird das voraussichtlich auch noch ein paar Jahre bleiben.

Gruß
Dirk