@CVIT ich stimme dir im Prinzip zu, aber bei den Bescheinigungen basiert das nur auf Rollen, nicht auf Berechtigungen. Deshalb funktioniert das mit den Obergruppen da nicht.
Ansonsten finde ich das Propagieren von Rechten an Untergruppen nicht so schlecht. Du kannst ja mehrere Obergruppen haben. Ich habe sogar eine Gruppentyp Rechtegruppe angelegt. Damit wird die an sich undefinierte Beziehung der Gruppen klar.