Windows 11 soll nicht nach Hause telefonieren

Hallo!

Ich habe hier ein paar Windows 11 Pro Notebooks, die zu einer Windows-Domain gehören.
Es gibt einige Einstellungen, die man mit Gruppenrichtlinien verteilen kann, damit Windows nicht nach Hause telefoniert. Leider kann man ja nur mit der Enterprise-Version alles komplett einstellen, mit Pro eben nicht.
Die Desktop-PC, die auch Teil der Domain sind, werden mit einem Domainfilter gehindert. Dieser Filter läuft auf den lokalen DNS-Servern.

Jetzt überlege ich, wie ich diesen Mechanismus auf die Notebooks übertragen kann. Diese Geräte verlassen manchmal das Netzwerk und werden mitgenommen.
Die Windows-Firewall kann ich sicher vergessen, die kennt keine Hostnamen, sondern nur IP-Adressen.
Ich hatte die Idee, mit einer System-Proxy-Konfiguration und wpad.dat einen Filter zu erstellen. So könnte ich prima www.microsoft.* und windows.* etc filtern.

Scheinbar kann man aber WinHTTP nicht mit wpad.dat einstellen. Browser kann ich mit einer GPO unter Kontrolle bringen.
Hat jemand Ideen?