SSL-Zertifikat für VPN

Ich richte zur Zeit für meine Firma ein über SSL geschütztes VPN ein.
Wenn ich SSTP erzwinge bekomme ich folgenden Fehler:
'Fehler 0x800B0109: Eine Zertifikatkette wurde zwar verarbeitet, endete jedoch mit einem Stammzertifikat, das beim Vertrauensanbieter nicht als vertrauenswürdig gilt.'
Über PPTP funktioniert es.. Leider reichen 128 Bit nicht.

Folgende Komponenten sind zur Zeit beteiligt:
- Ein Server 2008 (DC, RAS, Zerti-Srv) {ich weiß, den dc sollte man nicht ins web stellen, ist zur Zeit nur testweise}
(Zu Testzwecken stelle ich den Server in die DMZ, an Portfreigaben sollte es also nicht liegen.)
- Ein Router (Arcor-box), weitergeleitet von meiner DynDNS-adresse, auf die auch die Zertifikate angemeldet sind.
- Zwei Zertifikate:
Erstes:
Antragsteller:
CN = anonym.dyndns.org
OU = anonym
O = anonym
L = Dortmund
S = NRW
C = DE
Aussteller:
CN = anonym.dyndns.org
Schlüsselverwendung:
Digitale Signatur, Zugelassen, Schlüsselverschlüsselung, Datenverschlüsselung (f0)
(bei dem icon ist ein ausrufezeichen, ist das schlecht?)
Dieses Zertifikat ist auch bei meiner Zertifizierungsstelle unter 'Ausgestellte Zertifikate' zu finden und ist beim client unter 'Eigene Zertifikate' hinzugefügt.

Zweites:
Antragsteller:
CN = anonym.dyndns.org
Aussteller:
CN = anonym.dyndns.org
Schlüsselverwendung:
Digitale Signatur, Zertifikatsignatur, Offline Signieren der Zertifikatsperrliste, Signieren der Zertifikatsperrliste (86)
Basiseinschränkungen:
Typ des Antragstellers=Zertifizierungsstelle
Einschränkung der Pfadlänge=Keine
(Das Zertifikat habe ich beim Server in den Eigenschaften meiner Zertifizierungsstelle exportiert und beim Client unter 'Vertrauenswürdige Stammzertifikate' hinzugefügt.)

Danke für eure Hilfe!