Besten Dank dem Moderator und allen anderen Bemühten!
Der Hinweis auf die "Mandatory Integrity Controls" und hier gerade auf die "Windows Integrity Levels" war die Erleuchtung. Das erklärt, warum ein User de facto keinen Zugriff bekommt, der ihm laut Gruppenrichtlinie zustände. Das hatte ich nicht kapiert. Danke auch für die Hinweise auf die Tools zur Veränderung, die für mich allerdings nicht erforderlich sind.
Sorry für verspätetes antworten - bin in Italien auf Urlaub....
Sommerliche Grüße, Matthias
