Kann eine Regel, die nur Externe aussperren soll, allen anderen zu viel öffnen?

Eine Regel, die nur Externe aussperren soll, kann allen anderen zu viel öffnen, bei uns vier Monate lang. Im Juni hatte ich in Authentik fast jede Anwendung an die Bedingung nicht externe gebunden. Weil eine erfüllte Bedingung genügt, standen damit fünfzehn von achtzehn Anwendungen jedem internen Konto offen, darunter Serververwaltung und n8n. Ich hatte geglaubt und hier sogar geschrieben, ein Konto ohne Gruppe sehe nichts, und lag daneben. Wer nur festlegt, wer draußen bleibt, lässt alle anderen überall herein.