Kann der Domain-Administrator meine privaten Dateien sehen ?

[The_Lord_of_Midnight]

Hallo,
ich habe folgendes Problem.
Ich komme gerade vom Elternabend der Handelsakademie, wo meine Tochter zur Schule geht.
Und zwar ging es bei der Diskussion darum, ob die Eltern einer Notebook-Klasse zustimmen.
So weit, so gut.

Leider gibt es dabei einen Hasenfuss, der mir überhaupt nicht schmeckt.
Und zwar werden die Eltern von der Schule gezwungen, ein Notebook mit folgenden Eigenschaften bereitzustellen.
Andernfalls ist man von der Notebook-Klasse ausgeschlossen.
Oder man kann die Arbeiten im Unterrricht nicht mitmachen.
Oder man kann die Schularbeit nicht auf dem Notebook schreiben.

Windows Xp SP3 Professional
oder
Windows Vista Business oder Ultimate
oder
Windows7 Professional oder Ultimate
Symantec Antivirus (wird von der Schule zur Verfügung gestellt)
Windows Office 2010 (ja, das steht wirklich so dabei, das gibt einem schon mal kein gutes Gefühl)

Die Begründung für diese Requirements ist, daß dort offensichtlich ein Domain Server in Betrieb ist, und alle, die nicht der Domain beitreten, werden beinhart von der Teilnahme am Netzwerk und daher auch von der Teilnahme am Unterricht in der Notebook-Klasse ausgeschlossen.

Angeblich brauchen sie das, weil sich ohne Microsoft Domain Server Viren auf dem Schulnetzwerk ausbreiten könnten
Ich habe den Eindruck, daß es sich wieder mal um eine völlig unnötige Geldbeschaffungsaktion für Microsoft handelt.

Denn das heißt für mich, ich muss neu anschaffen:
Microsoft Upgrade Windows 7 Professional 32bit (Deutsch)
EUR 79,00
Microsoft Office Professional Plus 2010 32/64-bit Download (Deutsch)
59,00 EUR
Versand-, Verpackungs- und Bearbeitungskosten (inkl. USt): bis 3 kg € 9,90


Und das im Extremfall für alle 3 Kinder, denn jede dieser Lizenzen gilt genau für einen Rechner.
Empfohlen wurde mir gleich einen Business-Rechner mit inkludiertem Windows Professional zu kaufen.
Als Beispiel wurde dann ein Schüler genannt, der 1000 !!! Euro für das Business-Notebook bezahlt hat und das wird dort offensichtlich als völlig normal und angemessen angesehen.

Damit wird mir wohl sowieso keiner helfen können.
Aber jetzt noch zu einem Detail, das mich ganz besonders beschäftigt.
Was passiert eigentlich, nachdem ich eine Professional-Version von Windows7 auf dem Notebook meiner Tochter installiert habe und sie tritt dann der Domain in der Schule bei ?
Hat dann nicht automatisch der Administrator des Microsoft Domain-Controllers Zugang zu allen privaten Daten auf dem Notebook meiner Tochter ?
Ich stell mir das nicht unbedingt angenehm vor, wenn da ein Admin alle privaten Bilder aller Schülerinnen in der Schule ansehen kann.

Ist meine Sorge berechtigt ?
Angeblich wird der Domain-Server eingesetzt für:
Netwerk Policy Server
Network Access Protection
Domain Isolation

Nur es ist doch so, daß ein Domain-Administrator automatisch Zugang auch zu allen privaten Daten auf den Rechnern innerhalb der Domain hat, oder nicht ?
Der Domain-Admin hat auch die volle Kontrolle über alle Rechner innerhalb der Domain, oder ?
Ich stelle mir nur vor, wenn da irgendjemand unberechtigt Zugang zum Domain-Controller hat, der kann da doch einiges anstellen auf den Rechnern, oder ?
Der kann sogar die Benutzer auf den Notebooks vollständig aussperren ?
Und er kann auch alle beliebigen Policies auf den Clients erzwingen ?

Ich habe wie gesagt kein sehr gutes Gefühl, wenn da die Rechner vollständig unter der Kontrolle eines Domain-Admins der Schule stehen.

Kann mir diesbezüglich jemand unter die Arme greifen, ob ich alles richtig verstanden habe ?
Nur damit ich genau verstehen kann, ob ich diesem Plan einer Notebook-Klasse unter diesen Bedingungen mit gutem Gewissen zustimmen kann.

Die einzige Möglichkeit gegen den Zugriff des Domain-Admins ist die Verschlüsselung der Daten auf den Clients.
Stimmt das so ?
Und wenn dann das Windows abstürzt und man hat den Verschlüsselungs-Code nicht separat gespeichert, dann sind gleichzeitig alle privaten und verschlüsselten Daten verloren ?

Danke,