Bestimmte Nutzer werden wahllos vom DC gesperrt

Moin liebe Kollegen,

aktuell arbeite ich an einem Problem, bei dem ich einfach nicht weiterkomme.
Wir haben die Situation, dass einer unserer beiden DCs immer wieder zufällig Nutzer sperrt. Der Sperreintrag stammt dabei jedoch immer vom selben DC.

Die gesperrten Nutzer sind ebenfalls immer dieselben, jedoch treten die Sperrungen zu unterschiedlichen Zeiten auf – häufig nachts bis in den Morgen hinein, aber auch tagsüber.

Leider gehen uns die Ideen aus, woran es liegen könnte. Wir können keinen eindeutigen Zusammenhang erkennen, außer dass es sich bei einigen gesperrten Nutzern um Service-Konten handelt (z. B. Fax-, Scan-User), aber auch reguläre Nutzer betroffen sind (zwei stechen besonders hervor).

Folgende Maßnahmen haben wir bereits durchgeführt:

Windows-Credentials gelöscht
Zugriff über OWA geprüft → Die gesperrten Nutzer greifen nicht über OWA zu

Hat jemand noch eine Idee, was das Problem verursachen könnte?

--Windows Server (DC)
--Clients Windows (10/11)
--2 Synchrone DC´s


Abkürzungen:
DC1: Domaincontroller 1
DN: Domain Name
DC2: Domaincontroller 2


Hier ein Auszug aus dem Eventlog von „DC1“ sowie aus dem Netlogon.log:

Auszug aus dem Eventlog von "DC1"

- System

- Provider

[ Name] Microsoft-Windows-Security-Auditing
[ Guid] {54849625-5478-4994-a5ba-3e3b0328c30d}

EventID 4740

Version 0

Level 0

Task 13824

Opcode 0

Keywords 0x8020000000000000

- TimeCreated

[ SystemTime] 2025-02-20T23:07:01.1101868Z

EventRecordID 2468795

Correlation

- Execution

[ ProcessID] 848
[ ThreadID] 18416

Channel Security

Computer "DC2"

Security


- EventData

TargetUserName "Username"
TargetDomainName "DC1"
TargetSid S-1-5-21-1409082233-602162358-839522115-4462
SubjectUserSid S-1-5-18
SubjectUserName "DC2"
SubjectDomainName "DN"
SubjectLogonId 0x3e7

Auszug vom Netlogon auf "DC1"

02/21 05:13:18 [LOGON] [2444] "DN": SamLogon: Network logon of "Username" from "DC1" Entered
02/21 05:13:18 [CRITICAL] [2444] NlPrintRpcDebug: Couldn't get EEInfo for I_NetLogonSamLogonEx: 1761 (may be legitimate for 0xc000006a)
02/21 05:13:18 [LOGON] [2444] "DN": SamLogon: Network logon of "Username" from "DC1" Returns 0xC000006A


02/21 05:15:00 [LOGON] [3012] "DN": SamLogon: Network logon of "Username" from "DC1" Entered
02/21 05:15:00 [CRITICAL] [3012] NlPrintRpcDebug: Couldn't get EEInfo for I_NetLogonSamLogonEx: 1761 (may be legitimate for 0xc0000234)
02/21 05:15:00 [LOGON] [3012] "DN": SamLogon: Network logon of "Username" from "DC1" Returns 0xC0000234