Sie können zu Systemsteuerung> Verwaltung> Lokale Sicherheitsrichtlinie wechseln.
Von dort möchten Sie Lokale Richtlinien> Überwachungsrichtlinien.
Hier können Sie die Überwachung für alle Arten von Ereignissen festlegen. Ich glaube, dass das, was Sie wollen, "Audit Logon Events" ist, setzen Sie es auf Failure (oder auch Erfolg, wenn Sie möchten).
Alle Ereignisse werden nun an die Ereignisanzeige gesendet.
Es gibt keine einfache Möglichkeit, ein Skript im Fehlerfall auszuführen, da der Benutzer sich nie angemeldet hat. Allerdings wird ein Eintrag in der Ereignisanzeige unter Sicherheit eingefügt.
Sie könnten ein Programm oder ein Skript schreiben, das als System ausgeführt wird und das Protokoll alle x Sekunden überprüft, um bei einem Fehler das zu tun, was Sie möchten - aber ich denke nicht, dass es einfach ist.