Microsoft hat es irgendwann auf AUS umgestellt, so daß dieses nicht mehr erlaubt ist.
Wenn es also jetzt in dem Tenant möglich ist, dann muss es jemand geändert haben.
Und ja, an den Default Richtlinien stellt Microsoft Dinge um, und sei es nur, weil ein Neues Feature kommt, welches Sie gerne im Standard an haben möchten, dann hat es sich in der Vergangenheit immer (mit Ausnahmen) wie folgt dargestellt:
Default Policy wird es als AN hinzugefügt
Custom Policy wird es als AUS hinzugefügt
Und ab und zu muss man dann mit doppelter Verneinung zurecht kommen.