Naja ob der Client ein Zertifikat hat oder Peng. Er spricht jedenfalls kein Kerberos. ;) warum habt ihr das denn damals nicht gleich für Outlook anywhere, mapi http usw. mit eingerichtet?
achso zum fallback: muss es ja geben, da du sonst für nicht Domain members ja keine Verbindung hinbekommst. ;)