das Problem ist nun gelöst, hier kurz als Feedback:
Ich habe zusammen mit dem Kunden den Software-Hersteller dazu bekommen, dass er seine Installations-/Updates-Routine anpasst, so dass es A) ein Log/Debug-Ausgabe gibt und B) diese anzeigt an welcher Datei es explizit scheitert.
War einiges hin und her aber letztendlich kam heraus, dass es an einer Teilapplikation der Softwaresammlung scheitert der 'Lohn.exe'.
Hier war die Vererbung deaktivert und es waren gesonderte Berechtigungen vergeben; wohl weil es keine Benutzerverwaltung im Programm an sich gibt und es über die Windows-Berechtigungen geregelt wird, wer auf welche Programm-Teile zugreifen darf.
Somit haben halt die Ordner-Berechtigungen nicht gegriffen.
Ich habe mit dann mit den Sysinternal Applikationen AccessChk (CMD) und AccessEnum (GUI) dann alle einzelnen Dateien überprüft und eine weitere solche Datei entdeckt names 'Zeiterfassung.exe'.
Die Berechtigung dieser Dateien habe ich also korregiert und schon klappen die Updates mit diesem dedizierten Benutzer.
Das wurde bei der Installation vom Hersteller so eingerichtet zusammen mit einem Kollegen der nicht mehr im Unternehmen tätig ist; weder der Hersteller hatte darauf hingewiesen noch der Kollege hatte es dokumentiert.
Absolut simpel und sobald man mal ein richtiges Log hat, kommt man dem Problem ja auch auf die Schliche. Hatte nur nicht damit gerechnet, dass die Zugriffsverwaltung der Applikation über Windows-Berechtigungen geregelt wird.
