Wenn das Ereignisprotokoll eines SBS 2003 mit den Events 538, 540 and 576 zuläuft, dann kann die Ursache ein Process sein, der sehr häufig logon/logoff-Ereignisse auslöst.
Auf dem SBS 2003 werden per Standardeinstellung solche Ereignisse geloggt.

Um das detailierte Logging dieser Ereignisse per Überwachungsrichtlinie auszuschalten geht man folgendermaßen vor:

1. Klick auf Start, Klick auf "Ausführen", Eingabe "gpmc.msc" und "OK" klicken
2. "Domänen" aufklappen, die eigene Domäne wählen -> Domain Controllers.
3. Rechtsklick auf Small Business Server-Überwachung -> Bearbeiten
4. Aufklappen "Computerkonfiguration" -> Windows-Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Überwachungsrichtlinie
5. Im rechten Fensterbereich auf Anmeldeereignisse doppelklicken und den Haken bei "Erfolgreich" entfernen. "OK" klicken
6. Ausführen von "gpupdate /force" (via Kommandozeile), um die geänderten Richtlinien anzuwenden

(via)