Ich glaube nicht, dass da die Sophos dazwischen spuckt. Ich vermute mal eher die Outlook App auf den Telefonen. War das nicht so, dass die Passwörter auf den Microsoft Servern gecached/gespeichert werden und die Mails gar nicht direkt ans Smartphone gehen ...
Ein guter Anlaufpunkt um die Konfiguration der Sophos zu checken ... https://www.frankysweb.de/sophos-utm-9-4…-exchange-2016/
Das beschreibt die Konfiguration grundlegend mit einem 2016er ... (auch nicht viel anders als der 2010er)
Welche Version der UTM hast Du am Laufen?
bei bedarf, kann ich gerne meine ActiveSync Konfig in der Sophos posten (zwar auch für nen 2016er - aber was ActiveSync angeht gibt es da keinen Unterschied)