Eigenes Kennwort über LDAP ändern - Keine Berechtigung

Jeder Benutzer einer 2003-Domäne soll über LDAP sein eigenes Kennwort ändern können. Hierzu wird LDAP über SSL verwendet.
Der LDAP-Verbindungsaufbau und der Bind funktionieren; auch das Auslesen von Benutzerinformationen etc.

Wenn dann aber ein ldap_modify eingeleitet wird um das Kennwort zu ändern, kommt der Server -Error "INSUFF_ACCESS_RIGHTS" zurück.
("Benutzer kann Kennwort nicht ändern" ist natürlich nicht aktiviert). Dieses Problem kann ich beseitigen, indem ich über den "Assistent zum Zuweisen der Objektverwaltung" für einen Container im AD (z.B. "Users") allen Benutzern den Task "Erstellt, entfernt und verwaltet Benutzerkonten" zuweise. Dann funktioniert alles prächtig, leider kann dann aber jeder Benutzer das Kennwort für jeden anderen Benutzer ändern.
Das kanns ja auch nicht sein...

Hat jemand eine gute Idee wie ich die Berechtigung setzen kann, dass jeder nur eben genau sein eigenes Kennwort ändern kann?
Danke & Gruß,
Thomas