Ich habe es heute extra noch einmal getestet. Eine frische Installation ohne AD hat VBS deaktiviert. Beim AD Join zieht natürlich die GPO der Domäne.
Laut Doku von MS ist es per Default immer deaktiviert. (Zumindest bei Server)
Die VBS nutzt die virtualisierung zum Sandboxing und solange du keinen Browser öffnest oder komische Programme installierst, macht das VBS auch erst einmal nichts.
Das manche 2025 Träge sind, kann ich auch beobachten, aber alle hatten VBS deaktiviert. Mit dieser komischen Behauptung, die schon eine Weile rumschwirrt, lenkt man doch nur davon ab, den wirklich Verursacher zu finden.