(PS #2: das funktioniert natürlich nur, weil Windows sich die Credentials gemerkt hat... wenn ich über Deinen Fall weiter nachdenke, müsstest Du für diesen Anwendungsfall wohl die Verbindung für beide
Access Token erstellen)
Ich habe noch viel gegoogelt gestern und auch einiges gefunden gestern. Die ShellApi bietet auch Möglichkeiten, die nur teilweise Adminrechte brauchen.
Ich habe mich entschieden alles ein wenig zu umgehen.
Ich habe beschlossen das Tool nur auf Nutzer Ebene zu empfehlen und ein kleines Setup dazu gebastelt. Das Setup setzt die Rechte des Registry Key und alles unter dem, wie benötigt und gut ist.
Nicht die eleganteste "Lösung" aber die, sie für mich am besten umsetzbar ist.