Wie schön gesagt wurde, wenn die Clients gemanagt sind und alles auf Enterprise Ebene läuft, dann können bestimmte Einstellungen in Betriebssystem und Browser per Richtlinie gesperrt werden. Wenn ein Administrator Wert auf Sicherheit legt, dann hat er das so eingerichtet.
Und die Gruppenrichtlinien steuern natürlich auch die Ausführung von portablen Apps. Die sind einfach auf eine Blacklist und beim ersten Start, wird die gekillt und wieder gelöscht. Das sind eben effektive Maßnahmen, wie sie auch in großen Firmen zum Einsatz kommen und bei einer Schule sollte sowas erst Recht so gemacht werden.