In den Update-Rollups ist z.B. auch der IE 11 für W7 enthalten. Wenn Du den darüber nicht zur Verfügung stellen willst, dann darfst Du Update-Rollups nicht aktivieren. Auch sind dort andere kumulativen Updates für die diversen IE-Versionen enthalten. Auch findest Du dort z.B. ein UpdateRollup für den SQL Server 2012 SP1. Solltet ihr auch SQL Server im Einsatz haben, ist es zu überlegen die Update Rollups zu aktivieren.

Solange die Clients die Updates nicht anfordern, würde ich sie auch nicht genehmigen. D.h. du solltest nur eine automatische Genehmigungsregel für Updates und Sicherheitsupdates erstellen. Alle anderen Updates werden im Fall des Falles von den Clients angefordert.

BTW: Der WSUS verteilt nichts, der stellt nur zur Verfügung. Die Intelligenz ist auf dem Client in Form des Windows Update Agent.

Hast Du dir die Beschreibungen zum Serverbereinigungsassistenten auch durchgelesen? Wenn nein, dann hol das nach und überleg nochmal warum die META-Daten nicht verschwunden sind.

Alte nicht mehr benötigte Updates, z.B. ein SP1 für SQL 2012, kannst Du ablehnen, den Rest macht der Serverbereinigungsassistenten, dessen Beschreibungen zu den einzelnen Punkten man sehr aufmerksam lesen sollte. In (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). findest Du zwei Bereinigungsscripte, lass eines davon (welches bleibt dir überlassen) täglich im Taskplaner laufen.

Zusätzlich gibt es in der Script Gallery von MSFT ein Reindexierungsscript für den WSUS, das solltest Du wöchentlich im Taskplaner aufrufen.

Und noch ein nicht unwichtiger Hinweis. In (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). findest du die Updates und die Klassifizierung dazu, wie sie im WSUS eingeordnet kommen. Ganz unten sind die Links zu den Artikeln der Vorjahre zu finden.

Die META-Daten werden überhaupt nicht mehr aus der SUSDB gelöscht. Die Dateien im Dateisystem erst dann, wenn Du die Updates 30 Tage lang nicht mehr genehmigst. Gelöscht werden sie dann natürlich nur vom Serverbereinigungsassistenten. Egal ob Du ihn per Script oder manuell ausführst.

Wie möchtest Du Updates eingrenzen? Du kannst natürlich keine Updates automatisch zur Installation freigeben, sondern wartest welche Updates die Clients anfordern. Nur die genehmigst Du dann.

BestPraxis gibt es IMO nicht. Das handhabt jeder anders.

Bei uns gibt es auch alte PCs, aber dadurch das viele Updates installiert sind, werden die NICHT langsamer. Da läuft bei euch etwas anderes falsch. Ich vermute eher die AV-Scanner als den Schuldigen.