Um mal noch etwas Konkretes beizutragen: Ich empfehle ebenfalls, dem Nutzer keine Administratorrechte zu geben und stattdessen mit RunAsSpc (Freeware) oder RunAs Professional (Löhnware für 10 EUR) irgendein Programm zu starten, über das Installationen mit Adminrechten ausgeführt werden können. "Irgendein Programm" sollte man natürlich sehr genau überlegen und aussuchen; Explorer geht z.B. nur über Umwege und ist sicher auch nicht gerade sinnvoll.
Das ist übrigens auch genau der Weg, den ich bei meinen Kunden gehe: Adminrechte haben die keine, das Passwort des Admins haben sie ebenfalls nicht, aber sie können über ein von mir entwickeltes Programm Software installieren/deinstallieren oder Systemeinstellungen ändern. Die Benutzung dieses Programms wird protokolliert, so dass ich nachvollziehen kann, wann und wie oft davon Gebrauch gemacht wurde, um dann ggf. zu sagen: "Selber schuld"
.
MfG Dalai