unbekannte Anmeldung als admin

#1 Guten Tag zusammen,

ich habe hier auf meinem Notebook einen täglichen LOKALEN Anmeldeversuch als admin. Jeden Tag pünktlich um 19:35, hier das Ereignis:
-------------------------------
Ereignistyp: Fehlerüberw.
Ereignisquelle: Security
Ereigniskategorie: Anmeldung/Abmeldung
Ereigniskennung: 529
Datum: 06.05.2008
Zeit: 19:35:00
Benutzer: NT-AUTORITÄT\SYSTEM
Computer: THINKR50
Beschreibung:
Fehlgeschlagene Anmeldung:
Grund: Unbekannter Benutzername oder falsches Kennwort
Benutzername: Administrator
Domäne: THINKR50
Anmeldetyp: 4
Anmeldevorgang: Advapi
Authentifizierungspaket: MICROSOFT_AUTHENTICATION_PACKAGE_V1_0
Name der Arbeitsstation: THINKR50
-------------------
Also die typische Meldung, die sonst kommt, wenn ich mich selber anmelde und mich vertippe.
Ich bin selber als admin angemeldet, wenn das passiert. Ich habe zum Testen das Netzkabel gezogen und kann sozusagen drauf warten. Das Problem ist: Ich kann das Programm oder den Prozess, der das macht nicht lokalisieren.
Virenscanner avira antivir premium mit komplettem Scan meldet nichts. Alle Prozesse habe ich selber durchgecheckt - keine Auffälligkeiten.

Meine Frage: Gibt es eine Möglichkeit festzustellen, wer sich da anmelden will? Es muss ja ein Programm oder Prozess sein, ein Mensch ist definitiv auszuschließen.

Gruß Reinhart

P.S. HijackThis wird auf Wunsch gerne nachgeliefert.

#2 Und Du hast bereits alle Dienste und Tasks geprüft, ob sie als LocalSystem oder mit dem Benutzerkonto des Admin starten ?
Es kann meines Wissens nach nur diese Möglichkeiten geben, und diese sind ja leicht zu überprüfen.
__________
Durchsuchen --> Aussuchen --> Untersuchen

#3 "Anmeldetyp: 4" ist eine Batch-Anmeldung. Läuft der Taskplaner ggf. mit einem invaliden Eintrag? Das würde
auch das täglich einmalige Auftreten zu einer bestimmten Uhrzeit erklären.

Gruß,

Sepia

#4 @sepia: Treffer! Im Taskmanager soll "arcldr.exe" um 19:30 gestartet werden.
@joschi: so genau hab ichs eben doch nicht geprüft.

Nun, arcldr.exe scheint von Microsoft höchstpersönlich zu stammen:
http://support.microsoft.com/default.aspx?scid=kb;de;238359

Ich blick da noch nicht so recht durch, was dieses Prog auf meinem Rechner zu suchen hat, und warum es gestartet werden soll. Muss erst richtig lesen.
Jetzt aber kann ich mir selber weiter helfen.

Vielen Dank!

Gruß
Reinhart