Empfangsconnector unter Exchange 2007 hinzufügen

Hallo zusammen,

ich betreibe einen Exchange 2007 und es läuft auch soweit alles.
Die User liefern Mails über ihr Exchange-Konto per Outlook oder Smartphone ein (MAPI / ActiveSync), der Server stellt dann intern die Mails zu oder leitet sie über ein Relay nach draussen weiter.

Jetzt soll aber für eine Webseite der Mail-Versand per SMTP möglich sein.
Sprich: Die Webseite (z.B. ein Onlineshop) generiert eine E-Mail, die per SMTP über den Exchange versendet werden soll.
Dazu habe ich im Exchange ein extra Postfach angelegt (Username, Kennwort), eine Portweiterleitung in der Firewall für Port 587 auf den Exchange (über den die Mails eingeliefert werden sollen), und ich habe in der Exchange Verwaltungskonsole unter "Serverkonfiguration" => "Hubtransport" einen neuen Empfangsconnector wie folgt angelegt:

Neuer Empfangsconnector -> Benutzerdefiniert.
Reagiert auf allen lokalen IP-Adressen auf Port 587 und externen FQDN für HELO eingetragen.
Remote-IP-Adressen: alle (default)
Empfangsconnector erstellen.

In den Eigenschaften dann noch unter "Authentifizierung" den Haken bei TLS gelassen (die Anmeldedaten sollen ja nicht unverschlüsselt übertragen werden), und ausserdem einen Haken gesetzt bei "Standardauthentifizierung" sowie "Standardauthentifizierung nur nach dem Starten von TLS anbieten", denn für den Versand soll ganz normal Benutzername/Kennwort erforderlich sein. Bei den Berechtigungsgruppen habe ich "Exchange-Benutzer" ausgewählt.

Ich hatte nun gedacht, dass damit alles erforderliche unternommen wurde.
Testweise habe ich dann mal im Thunderbird ein Mailkonto eingerichtet, wo ich folgenden SMTP-Server eingerichtet habe:
Server: externer FQDN des Mailservers
Verschlüsselung: SSL/TLS über Port 587
Benutzername, Kennwort.

Beim Versuch darüber eine Mail zu verschicken kam dann: "Stelle Verbindung zum FQDN her" .... dann "Verbindung hergestellt", aber die Mail geht nicht raus.
Es kommt keine Fehlermeldung, sondern es gibt einfach einen Timeout.

Ich habe Testweise mal die Verschlüsselung von SSL/TLS auf STARTTLS umgestellt, das brachte aber auch nix.
Alternativ habe ich es mal über Port 25 versucht, stieß jedoch auf gleiches Problem.

Irgendeine Idee, was ich falsch mache?
Muss ich vielleicht erst noch ein Zertifikat basteln? Oder wurde bei Installation ein Default-Zertifikat eingerichtet, welches ausreichen sollte?

Vielen Dank vorab!
Gruß,
Colt