Hallo,
ich würde empfehlen das LDAP-Logging zu aktivieren und nach dem Login des Benutzers dort reinschauen. Dort werden die gefundenen Gruppen aufgelistet und mit angegeben, ob diese auch in i-doit wiedergefunden wurden. Wenn das nicht passt, bekommt der User die Gruppe eben nicht. Wie sieht denn das Mapping in der Personengruppe genau aus? Hast du den Gruppennamen oder den kompletten Pfad verwendet?
Liebe Grüße
Christian