Ja ich weiss, es ist schon älter... Aber nur für den Fall das noch einmal jemand darüber stolpert (so wie ich gerade):
Klick auf die Richtlinie > Delegierung > Erweitert > und bei den Domänen-Admins in den Berechtigungen "Gruppenrichtlinie übernehmen" den Haken bei "Verweigern" setzen