Дополню Alexey Dmitriev - в журнале безопасности (Security Log) на контроллере ищите события 4733 (удаление участника из группы безопасности) и/или 4735 (изменение группы безопасности)
1. На контроллере домена нет группы Administrators.
2. В качестве этой группы опосредованно выступает доменный принципал Builtin\Administrators, из которого удалить членов можно без входа на DC. Судя по вопросу вы это не знали - и могли и удалить это сами из остастки AD.