Hi,
danke für die Tips und moralische Unterstützung - wir haben gestern 6 Stunden lang mit einem 4-köpfigen Team von MS / teils aus Redmond das Problem bearbeitet (jaja, man will's nicht glauben, aber Premium Support kann sich tatsächlich lohnen...). Das Ergebnis wird voraussichtlich in einen KB-Artikel münden.
Kurz zum Problem:
Schema im AD geändert (welcher Teil ist nicht reproduzierbar), dadurch sind die Berechtigungen des ES im AD so nachhaltig verändert worden, dass der Subtask (LDAP Operation) auf dem AD nicht laufen konnte = keine contacts im AD anlegen.
Fix: eigene OU für den ES, GPO not applied, Lotus Notes connector dienst mit dediziertem account ausgestattet, der neu aufgesetzt mit angemessenen Berechtigungen im AD.
Pffh, mir glüht noch immer das Ohr, aber das big issue ist gefixt.
Noch mal danke an alle Unterstützer und beteiligten.
Gruss
Bernhard