Hallo,
wenn es so ist wie ich es verstehe, kann das nicht sein.
Irgendwo muss "User1" Verweigerungsrechte bekommen. Evtl. in der Gruppe "User" ?
Gegenfrage ... warum steckst Du "User1" nicht einfach in beide Gruppen ohne ihm dedizierte Rechte zu geben ?
Gruß,
Andreas