Problem bei der Vergabe von Sciherheitsinformationen auf eine Freiagbe

[mexxem]

Liebe Community,

zurzeit arbeite ich an eine Active Directory Domäne die mittels Samba läuft.
Dazu habe ich einen AD DC auf Debian 8.7 mit Samba 4.2 konfiguriert. Dieser läuft auch prima.
Danach habe ich einen AD Member Server mit Samba 4.2 konfiguriert, der Freigaben bereit hält.
Auf diese Freigaben möchte ich mit einem Windows Client, der Mitglied der Domäne ist, zugreifen und die Berechtigungen ändern. Dazu verwende ich die Computerverwaltung und schalte mich auf den Fileserver auf.
Die Freigaben werden mir angezeigt und ich kann die Freigabeberechtigungen nach belieben ändern.
So jetzt kommt der Knackpunkt - Wenn ich die Sicherheit auf der Freigabe ändern möchte, funktioniert dies nur, wenn in den Freigabeberechtigungen die Gruppe "Jeder" mit Vollzugriff steht. Sobald ich nur einen Bestimmten User mit Vollzugriff eintrage, kann ich nicht mehr die Sicherheit der Freigabe ändern.
Ich hoffe ihr könnt mir Folgen...

hier smb.conf vom Fileserver mit testparm:
[global]
workgroup = TESTDOMAIN
realm = TESTDOMAIN.EXAMPLE
security = ADS
username map = /usr/local/samba/etc/user.map
log file = /var/log/samba/%m.log
template homedir = /home/%U
template shell = /bin/bash
winbind enum users = Yes
winbind enum groups = Yes
winbind use default domain = Yes
idmap config * : range = 10000 - 19999
idmap config * : backend = rid
map acl inherit = Yes
store dos attributes = Yes
vfs objects = acl_xattr


[demo]
path = /srv/samba/demo
read only = No

user.map file
!root = TESTDOMAIN\demo


hier die smb.conf vom Domänencontroller mit testparm:

[global]
workgroup = TESTDOMAIN
realm = TESTDOMAIN.EXAMPLE
server role = active directory domain controller
passdb backend = samba_dsdb
template homedir = /home/%U
template shell = /bin/bash
dns forwarder = 8.8.8.8
rpc_server:tcpip = no
rpc_daemon:spoolssd = embedded
rpc_server:spoolss = embedded
rpc_server:winreg = embedded
rpc_server:ntsvcs = embedded
rpc_server:eventlog = embedded
rpc_server:srvsvc = embedded
rpc_server:svcctl = embedded
rpc_server:default = external
winbindd:use external pipes = true
idmap_ldb:use rfc2307 = yes
idmap config * : backend = tdb
map archive = No
map readonly = no
store dos attributes = Yes
vfs objects = dfs_samba4 acl_xattr


[netlogon]
path = /var/lib/samba/sysvol/testdomain.example/scripts
read only = No


[sysvol]
path = /var/lib/samba/sysvol
read only = No