Windows 2008 R2 - Problem mit: Kontenverwaltung überwachen

Hi,
brauche mal einen Tritt ...

Forest mit nur einer Domain
Windows 2008 R2 Domain
4 DC, 2 Sites

Ich versuche gerade verzweifelt, auf den DC die Einstellung "Kontenverwaltung überwachen" zu aktivieren.
Über "Lokale Sicherheitsrichtlinie" direkt am DC kann ich das nicht ändern. Grau hinterlegt. Das Sysmbol zeigt aber an, dass keine Domain GPO diese Einstellung vornimmt.
Wenn ich jetzt diese Einstellung in der Default Domain Controller Policy vornehme, repliziere und dann gpupdate auf den DC's ausführe, dann zeigt mir RSOP zwar an, dass diese Einstellung von dieser GPO übernommen werden soll, aber sie wird nicht angewendet. Im RSOP erscheint dann an dieser Einstellung als Symbol ein roter Kreis mit weißem Kreuz und im Text "Das Richtlinienmodul hat nicht versucht, die Einstellung zu ändern." Im winlogon.log steht dann auch nichts hinreichendes drin.

In einer anderen Domain eines anderen Forest geht das ohne Probleme.

Ich brauche diese Einstellung, um mit ADMT die SID migrieren zu können (sidHistory).

Ich stehe total auf dem Schlauch ....

E.