Download von Windows 10 Apps und DoNotConnectToWindowsUpdateInternetLocations

Hallo Admins,

wir haben einen WSUS (2012R2) im Einsatz für die Verteilung der Windows Update und PC mit Windows 10 (1703 und 1803).

Ich hatte per GPO die Option DoNotConnectToWindowsUpdateInternetLocations aktiviert, obwohl mir nicht völlig klar war, was diese Option wirklich bewirkt.
Ich dachte halt, wenn wir einen WSUS haben, wieso sollen die Clients dann noch mit dem Internet-Servern kommunizieren.

Nun bin ich beim Review meiner Policies wieder drüber gestolpert und habe mal ausprobiert, die Option zu deaktivieren.

Plötzlich haben alle Clients angefangen wie verrückt Daten aus dem Internet zu ziehen, unsere neue 100 Mbit Leitung war bis zu 70% ausgelastet, was wohl nur daran lag, dass die CPU unserer Sophos UTM (220) so mit scannen beschäftigt war, dass keine weiterer Datenverkehr mehr geprüft werden konnte.

Auf den Clients habe ich in den Eventlogs folgende Einträge:

Installation erfolgreich: Das folgende Update wurde installiert. 9WZDNCRFHVN5-MICROSOFT.WINDOWSCALCULATOR
Installation erfolgreich: Das folgende Update wurde installiert. 9WZDNCRFHV4V-Microsoft.BingFinance
Installation erfolgreich: Das folgende Update wurde installiert. 9WZDNCRDTBVB-MICROSOFT.WINDOWSMAPS

Pro Client werden dabei mehrere 100 MB heruntergeladen.
Das sieht danach aus, dass die Windows 10 Apps aus dem App Store auf den Clients aktualisiert werden.

Meine Frage:

Werden die Apps nicht über den WSUS aktualisiert?
Kann man die Apps über den WSUS aktualisieren, wie?
Sollte man die Apps aktuell halten? (Wahrscheinlich ja).

Gibt es eine Exclusion-List für die Sophos UTM, damit der ganze App-Müll nicht auch noch 20 mal gescannt wird?

Vielen Dank!