Wird die Session beended schickt Windows erst ein
WM_QUERYENDSESSION und dann zum Schluss noch mal ein
WM_ENDSESION. Ersteres wäre der richtige Zeitpunkt, um noch was auszuführen. Aber all zu viel würde ich da nicht mehr machen, ich weiß nicht, wie geduldig Windows da noch ist.