Verständnisproblem DNS auf DC

Guten Tag Zusammen,

ich habe ein kleines Verständnisproblem bezüglich unserer Testumgebung.
Wir haben einen 2012R2 DC laufen. Dieser DC ist ebenfalls DNS- und DHCP-Server.
Die Domain heißt dom01.test.net (wir haben eine funktionierende Top-Level-Domain).
D.h. der DC ist im LAN bekannt als dc1.dom01.test.net.
Am Testnetzwerk sitzt eine Sophos UTM als Firewall, Gateway und DNS Forwarder.
Auf dem DC ist utner "Weiterleitung" im DNS die Sophos eingetragen. Auflösen von Domains funktioniert auch wunderbar.
Nun haben wir die Sophos auch als Reverse Proxy eingerichtet. Auf der WAN-Schnittstelle lauscht der Reverse Proxy und leitet HTTP an einen internen Server.
Die Subdomain sub.test.net zeigt über den DNS des Domain Providers auf die öffentliche IP der Sophos. Im Reverse Proxy der Sophos ist sub.test.net als Alias eingetragen.
Von einem beliebigen Gerät außerhalb des Netzwerkes funktioniert alles wie erwartet. Unter sub.test.net ist der interne Webserver abrufbar.
Aus der Domäne heraus (dom01.test.net) wird sub.test.net allerdings gar nicht aufgelöst. Sollte eigentlich über die Sophos an den DNS des Providers gehen und auflöst werden, wie jede andere Domain.

Nun dachte ich mir, vielleicht ist das ja korrekt?
Eventuell sieht sich der DC DNS zuständig für die Top-Level-Domain (test.net).
Was mich nun sehr wundert, ist die Tatsache, dass ich Umgebungen kenne, in denen genau diese Konstellation ohne weitere Zonen im DC DNS funktioniert.
D.h. AD läuft unter standort1.firma.de und dennoch können Mitarbeiter auf firma.de oder webmail.firma.de.

Wo liegt mein Denkfehler?
Danke für eure Hilfe!

Viele Grüße
Jan

C:\Windows\system32>nslookup
Standardserver:  abc.xyz.local
Address:  192.168.0.193

> xxxxx.yyyyy.zzzz
Server:  abc.xyz.local
Address:  192.168.0.193

*** xxxxx.yyyyy.zzzz wurde von abc.xyz.local nicht gefunden: Non-existent domain.
>

Windows PowerShell
Copyright (C) 2014 Microsoft Corporation. Alle Rechte vorbehalten.

PS C:\Users\Administrator> nslookup
Standardserver:  localhost
Address:  127.0.0.1

> xx.xxx.xx
Server:  localhost
Address:  127.0.0.1

Nicht autorisierende Antwort:
Name:    xx.xxx.xx

> sub.test.net
Server:  abc.xyz.local
Address:  192.168.0.193

Name:    sub.test.net

> www.google.de
Server:  abc.xyz.local
Address:  192.168.0.193

Nicht autorisierende Antwort:
Name:    www.google.de
Addresses:  2a00:1450:400e:800::2003
          62.214.62.56
          62.214.62.52
          62.214.62.54
          62.214.62.50
          62.214.62.55
          62.214.62.49
          62.214.62.53
          62.214.62.51
          62.214.62.48
          62.214.62.58
          62.214.62.59
          62.214.62.57

>