daabm

Was meinst Du genau mit "werden verschoben"? Gruppenmitgliedschaften habe nix mit OU-Pfaden (aka "Distinguished Name") zu tun, und nur bei den DNs kann man "verschieben". Ein Screenshot wäre ggf. hilfreich :)

Kann es sein, daß er auf dem alten Rechner mit "uralten" cached credentials läuft und daher mehr Gruppen hat als er haben sollte?

...Nachtrag: Winfried hatte den einzig brauchbaren Hinweis - Application Whitelisting. Alles andere funktioniert nicht. Und zwar nicht nur für Exe/Com, sondern natürlich auch für CMD/VBS und alles andere, was ausführbar ist. Spart dann auch schlaflose Nächte, falls der Virenscanner mal was durchlässt... ym2c :cool:

chkntfs /? -> Option /X

Das ganze als Shutdownskript...

Jepp - in den Symlinks ist das Recht "Ordner/Dateien auflisten" für "Jeder" verweigert, damit sowas eben keiner mehr macht - da geht nur "mit vollqualifiziertem Pfad aufrufen".

Kann es sein, dass "jemand" die Verknüpfung von .cmd zerstört hat? Mal HKCU\Software\MIcrosoft\Windows\CurrentVersion\Explorer\FileExts\.CMD untersuchen und mit nem funktionierenden PC vergleichen (oder den Key löschen, den gibt's per Default nämlich nicht)... Und HKCR\cmdfile\shell\open\command.

Anderer Browser (Firefox, Chrome) -> was für ein Ergebnis?

Das "läuft" nicht nur darauf hinauis, neue Profile sind ein MUSS. HKCU\Software\Wow6432Node und %ProgramFiles(x86)% machen eine Cross-Migration schlicht so aufwändig und fehleranfällig, dass sich das - egal mit welchen Mitteln - niemals lohnen kann. :p

BTW: MS unterstützt ja offiziell nicht mal servergespeicherte Profile für W7-32 und W7-64 parallel - auch wenn sie uns keine Möglichkeit an die Hand gegeben haben, das komfortabel zu trennen...

Ich würde da gerne mal einen Screenshot sehen - einen Pfad "Y:\\xyz" habe ich noch nie in Windows gesehen :cool:

"reg load" und "reg unload" hilft Dir weiter. Aber das hast Du sicher selbst schon gefunden im Link von @lefg.

...sind die KDC-Kennwörter der DCs out of sync? Stoppe und deaktiviere mal auf DC2 den KDC-Dienst, boote ihn dann neu. Geht es jetzt?

Taskleiste - DU meinst das Pinnen... Dafür gibt es haufenweise Anleitungen im Netz, und den Rest kannst Du mit Gruppenrichtlinien erschlagen (Desktop ausblenden).

Und wen interessieren noch die Icons auf dem Desktop (oder gar deren Anordnung), wenn ich doch einfach "Win" drücken und dann lostippen kann? SCNR...

Protokoll "System", Quelle "Eventlog"...

Passiert es im abgesicherten Modus auch? Eher nicht...

Profil schon mal gelöscht und neu erstellt?

Du hast Dir möglicherweise "irgendeine" Shell-Extension eingefangen, aber da bin ich dann raus...

Was GENAU hast Du in Deiner GPO eingetragen als Ausschluss? Und was GENAU sagt ein "gpresult /h report.html" zur effektiven Einstellung dieser Ausschlüsse?

Terminalserver ist oft eigenartig, wenn der eine Admin Loopback aktiviert (bevorzugt noch "replace") und der andere nicht weiß, was das bedeutet...

...und manche sagen auch noch BootP-Agent :)

Danke für den Hinweis - man lernt nie aus, und 2008 (R1) haben wir nie produktiv verwendet :-)

Da probiert irgendjemand die verschiedenen Overlays durch... Process Monitor könnte Dir verraten, wer das ist. Der grüne Haken heißt "Offline verfügbar und in sync", das graue Kreuz heißt "bin offline und ist nicht offline verfügbar", das Personenbildchen sagt mir nix, könnte aber was mit "freigegeben" zu tun haben, und den gekrümmten Pfeil kennt ja sicher jeder :-)

IMHO gar nicht - das macht man per DHCP, nicht per unattend :)

Um die Edition zu wechseln, mußt Du eigentlich nur den passenden Lizenzschlüssel installieren (slmgr -ipk)

Sehe ich wie Daniel - was mit W7 geht, wird i.d.R. auch mit W8 und Vista funktionieren. Ausnahmen bestätigen die Regel, sind mir aber nicht bekannt.

Filterplattform ist die Firewall... LIes Dich mal in "Advanced Audit Policy configuration" ein, die Suche im Internet bietet Dir viel Stoff dafür :)

Wie kommst Du denn auf die Idee? SIehst Du in der Druckserver-Verwaltung, ob das ein Paket ist oder nicht. Und weitere Infos findest Du im MSDN...  Über GPO werden überhaupt keine Druckertreiber installiert - das passiert bestenfalls bei der Verbindung mit dem Share. Und ob da nur Pakete gehen oder nomale Treiber auch - DAS kannst Du per GPO festlegen.

Nein, selbst erstellen kannst Du das nicht. Was ist Dein primäres Anliegen?

Hat der Dienst eine restricted SID? Dann mußt Du ihn explizit berechtigen...

sc qsidtype <Dienstname> verrät Dir das.

Nein, gibt es nicht. Die Nutzung erfolgt beim Zugriff auf Ressourcen, daher auch das D in DACL - "discrete"... :)