Bingo! Ja das wars … TLS hat nämlich ein Problem (zumindest in meinem Setup, Agent dürfte nur auf CN checken und SAN´s ignorieren) - mit “legacy” gehts dann sofort!
bzw. muss man auch so ehrlich sein und:
This is the name/address at which the agent can reach your central monitoring server via HTTPS or HTTP. Note: If you are using HTTPS then this name must exactly match the common name of the server certificate.
lesen 
Vielen Dank für die HIlfe!
lg
Oliver