andrewo

Ja, habe auf beide DCs ein gpupdate gemacht und über auditpol geprüft:
 
C:\>auditpol.exe /get /category:*
Systemüberwachungsrichtlinie
Kategorie/Unterkategorie                  Einstellung

An-/Abmeldung
  Anmelden                                Erfolg und Fehler
  Abmelden                                Keine Überwachung
  Kontosperrung                           Erfolg
  IPsec-Hauptmodus                        Keine Überwachung
 
Vorher stand da bei An-Abmelden Keine Überwachung und im Log waren auch keine Event ID 4624 und 4648 zu sehen. Die waren nach der Änderung dann wenigstens da.
Neu gestartet habe ich sie nicht, kann ich erst am Wochenende.

Habe es inzwischen gefunden, lag an folgenen Einstellungen die nicht konfiguriert waren und jetzt so gesetzt sind:
 
Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Überwachungsrichtlinie
Kontenverwaltung überwachen= Erfolg, Fehler
 
Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Erweiterte Überwachungsrichtlinienkonfiguration\Kontenverwaltung
Benutzerkontenverwaltung überwachen=Erfolg, Fehler