Um es aufzulösen: Der Nutzer hatte mal vor einiger Zeit nicht mit einem Domänen-Account sondern mit einem lokalen Account des Zielrechners auf diesen zugegriffen und die Anmeldedaten von Windows speichern lassen. Dummerweise hieß der lokale Nutzer genau wie der Domänennutzer, so dass dies nicht direkt auffiel. Nachdem die gespeicherten Anmeldedaten aus dem Tresor/Vault gelöscht waren, forderte Windows wieder zur Eingabe neuer Credentials auf und mit den Domain-Credentials funktionierte der Zugriff dann wieder.
NochEinBen's post in Freigabe für Nutzer blockiert wurde als beste Lösung markiert.