Kein Java, keinen Acrobat Reader, Flash ist eh tot, einen Alltagsnutzer ohne Admin-Rechte, laufende Updates und du bist vergleichsweise sicher unterwegs.

Der Defender selbst reißt ja auch gerne Löcher ins System:

https://www.cvedetails.com/vulnerability-list/vendor_id-26/product_id-9767/Microsoft-Windows-Defender.html