Exchange 2016 Active Sync funktioniert nicht mehr

Hallo,

ich habe einen Exchange 2016 mit dem CU 20 und gefühlt ist nach dem Update auf das CU 20 auch der Zugriff der mobilen Geräte auf den Exchange defekt. Wenn ich den auf https://testconnectivity.microsoft.com den Test für Active Sync durchführe kommt folgender Fehler:

HTTP-Authentifizierungsmethoden für URL  https://mail.domain.tld/Microsoft-Server-ActiveSync/  werden getestet
Fehler beim HTTP-Authentifizierungstest.

Die anfängliche anonyme HTTPS-Anforderung ergab keinen Fehler, die Authentifizierungsmethode „Anonym“ wird für dieses Szenario jedoch nicht unterstützt.
HTTP-Antwortkopfzeilen:
Connection: keep-alive
Content-Length: 194
Content-Type: text/html
Date: Thu, 08 Apr 2021 05:51:24 GMT
Location:  https://mail.domain.tld/ecp 
Server: nginx/1.10.3 (Ubuntu)

Ich habe einen NGINX als Reverse Proxy vor dem Exchange. Der Zugriff auf ECP ist vom Inet aus gesperrt durch den Reverse Proxy. Hier ist meine NGINX Config:

server {
        listen       *:80;
        server_name webmail.domain.tld autodiscover.domain.tld mail.domain.tld;
        if ($host = webmaildomain.tld) {
                return 301  https://$host$request_uri/owa; 
        }
        if ($host = autodiscover.domain.tld) {
                return 301  https://$host$request_uri/Autodiscover; 
        }
        if ($host = mail.domain.tld) {
                return 301  https://$host$request_uri/ecp; 
        }
        return 404;
        error_log  /var/log/nginx/exchange-error.log;
        access_log /var/log/nginx/exchange-access.log;
}

server {
        tcp_nodelay on;
        listen 443 ssl; 
        server_name webmaildomain.tld autodiscover.domain.tld mail.domain.tld;
        if ($host = mail.domain.tld) {
                return 301  https://mail.domain.tld/ecp; 
        }

        error_log  /var/log/nginx/exchange-error.log;
        access_log /var/log/nginx/exchange-access.log;

        ssl on;
        ssl_certificate /etc/ssl/certs/AlphaSSLWildcard2y.cert.pem;
        ssl_certificate_key /etc/ssl/private/AlphaSSLWildcard2y.key.pem;
        include /etc/letsencrypt/options-ssl-nginx.conf; 
        ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; 
        ssl_verify_client off;

        # Set global proxy settings
        proxy_read_timeout      360;

        proxy_http_version 1.1;
        proxy_pass_request_headers on;

        proxy_pass_header       Date;
        proxy_pass_header       Server;
        proxy_pass_header       Authorization;

        proxy_set_header        Host $host;
        proxy_set_header        X-Real-IP $remote_addr;
        proxy_set_header        X-Forwarded-For $proxy_add_x_forwarded_for;
        more_set_input_headers 'Authorization: $http_authorization';
        proxy_set_header        Accept-Encoding "";
        more_set_headers -s 401 'WWW-Authenticate: Basic realm="srv-mail.gre.intern"';
        proxy_buffering off;
        proxy_set_header Connection "Keep-Alive";

        more_set_input_headers 'Authorization: $http_authorization';
        proxy_set_header Accept-Encoding "";
        more_set_headers -s 401 'WWW-Authenticate: Basic realm="srv-mail.gre.intern"';

        location /           { return 301  https://webmail.domain.tld/owa/;  }
        location /ecp            { allow 192.168.110.0/24; allow 172.30.0.0/24; allow 172.30.8.0/24; allow 217.xx.yyy.zzz; allow 87.xxx.yy.zzz; deny all; proxy_pass  https://srv-mail.gre.intern/ecp;  }
        location /owa           { proxy_pass  https://srv-mail.gre.intern/owa;  }
        location /ews          { proxy_pass  https://srv-mail.gre.intern/EWS;  }
        location /Microsoft-Server-ActiveSync { proxy_set_header X-Forwarded-Proto https; proxy_pass  https://srv-mail.gre.intern/Microsoft-Server-ActiveSync;  }
        location /mapi           { proxy_pass  https://srv-mail.gre.intern/mapi;  }
        location /rpc           { proxy_pass  https://srv-mail.gre.intern/Rpc;  }
        location /oab            { proxy_pass  https://srv-mail.gre.intern/OAB;  }
        location /autodiscover           { proxy_pass  https://srv-mail.gre.intern/Autodiscover;  }
}

Da ich an dem Proxy nichts verändert habe, vermute ich eher das es nicht daran liegt.

Kann mir jemand sagen was da los ist?

Danke im voraus

Dirk