Powershell - AD User Logon (locked Account)

Hallo zusammen,

ich verzweifele seid Wochen an einem eigentlich banalen Problem.

Ein GF meldet sich an seinem Surface an und öffnet den Citrix Director.
Nun gelangt er auf einen Windows Server 2012R2 Terminal mit Outlook 2013.

Öffnet er Outlook, soll er Anmeldeinformationen eingeben.

Meldet er sich ab und wieder an, erhält er die Meldung, dass sein Account gesperrt sei.
Nun habe das Problem ein weiterer GF und ich komme nicht hinter das Problem....

Unsere Richtlinie sagt aus: 3 fehlgeschlagene Logins : Account dicht
Die GF haben jeweils ein Surface 4 mit W10 Pro 1803, Citrix Receiver 4.12 und arbeiten dann auf einem W2012R2 Desktop mit Outook 2013.
Des Weiteren syncen Sie ihr Mailkonto mit einem iPhone X.


So nun meine Frage:
Ist es auf einfachem Wege möglich, festzustellen, von welcher IP-Adresse / Hostname ein Login mit Usernamen XY versucht wurde?

Für den 2. Step wäre ein Script nett was mir eine Mail schickt, sobald ein Account gesperrt wurde.

Ich muss heraus finden, warum die Accounts jeden Dienst, Mittwoch und Freitag gesperrt werden.

Als DC's arbeiten hier 3x Windows Server 2012R2 Datacenter Maschinen.

Versucht habe schon folgendes:
https://4sysops.com/archives/use-powershell-to-get-last-logon-informatio ...
Leider erhalte ich hier keine IP-Adressen oder Hostnamen, sondern:

Authenticated DC : SRVDC02.mydomain.local
LoggedOn Time : 23.07.2018 05:29:55
User :
User Location : NOT FOUND
Workstation :
IP Address :
Computer Location : NOT FOUND