Fehlerhaftes Routing | TiKonnektor | nach Umstellung auf XGS

Moin!
Wir haben folgende Konstellation, an welcher ich aktuell scheitere, vielleicht habt ihr noch eine Idee:

Client: 192.168.0.19 nutzt Praxissoftware von Server 192.168.0.200
Einsatz eines Ti-Konnektors 172.16.10.220 mit GW 172.16.10.200
Route in die Ti-Infrastruktur manuell am Client gesetzt.

WAN <-> Fritzbox (Exposed Host Sophos XGS)
br0 default (WiFi - Lan)
br1-Ti (NW_Ti_Internal - LAN)

Konnektor ist i.O. baut die eigene VPN auf - Pings und Pongs sind alle tiptop.

Nun wollen wir einen eBrief über die Praxissoftware versenden, die Ports 465 und 993 werden laut Log direkt gedroppt. 

Ich habe ach schon den Technikersupport meines Distributors eingekauft, aber auch die kommen nicht weiter. :-/

Any - Any - Any bringt keine Veränderung. 
IPv4-Unicast Route hat auch keine Abhilfe geschaffen.

Laut secunet-Konnektor Anleitung heißt es:
Wenn der Modulare Konnektor hinter einer Firewall betrieben wird, müssen folgende Ports und Protokolle freigegeben sein:  Ausgehend alle Ports/Protokolle  Eingehend UDP Port 500 und Port 4500 Die Freigabe der eingehenden UDP Ports kann unterbleiben, wenn die Firewall des IAG die Funktion "Connection Tracking" unterstützt (siehe Kapitel 5.1.1). Dies bedeutet, dass auf Basis der vom Modularen Konnektor ausgehenden UDP Pakete die zugehörige UDP Antwort zugelassen wird. Beachten Sie die nachfolgenden Hinweise.  Eingehend ESP

Besten Dank und Gruß
Rene