@mansch also zum Ausprobieren hilfreich: legt Euch "Testuser"/Fake-Accounts an. Hans Tester, Erika Mustermann,... - Leute, die es in Eurer Gemeinde nicht gibt. Mit denen könnt Ihr dann Sachen ausprobieren, sie in Gruppen schieben und wieder raus,... - und merkt niemand anders.
In der Rechteverwaltung gibt es zwei unterschiedliche Stränge: einerseits die Berechtigung über den Status, andererseits über die Gruppen. Mir hört sich das so an, als ob Rechte via Status vergeben sind, d.h. wenn jemand Status "Mitarbeiter" hat, sieht er mit dem Status-Recht ggf. mehr als nur seine Gruppe.
Und, nein, man muß nicht alle onboarden, das geht auch so.