LDAP Sicherheitsgruppen

Guten Tag

Bei meiner LDAP ABfrage komme ich einfach nicht weiter.
Jeder User im AD ist in mehreren Sicherheitsgruppen. Alle diese Sicherheitsgruppen sind für verschiedene Zugehörigkeiten gedacht.
z.B. Berechtigungen oder Abteilung usw.
Abteilungssicherheitsgruppen beginnen z.B. mit A_User_Abteilung
Berechtigungsgruppen B_User_Abteilung

Eine LDAP Abftrage einer Sicherheitsgruppe, welche Personen da drin sind funktioniert via MemberOf. Aber immer nur eine Gruppe. Hier wäre schön, wenn das über alle GruppenTypen ginge, alles andere macht keinen Sinn, da kann ich auch gleich die Sicherheitsgruppe öffnen und schauen wer drin ist. Platzhalter mit MemberOf scheint es nicht zu geben oder ich mache was falsch.
z.B.
(&(objectCategory=user)(memberOf=CN=A_User_Sekretariat,OU=Groups,OU=xx,OU=xxx,DC=domain,DC=abc,DC=ch))
Besser wäre wenn ging
(&(objectCategory=user)(memberOf=CN=A_User_*,OU=Groups,OU=xx,OU=xxx,DC=domain,DC=abc,DC=ch))
Dann hätte ich auch einen gegenvergleich.

Die Idee war nun, eine LDAP Abfrage zu machen die alle User auflistet, bei welchen die Sicherhistgruppen A_User_* fehlen.
Also, die keine Zugehörigkeit haben zu irgendeiner der Abteilungs Sicherheitsgruppen.
Hintergrund ist, dass jeder Mitarbeitende in einer A_User Gruppe sein muss. Welche interessiert mich im Moment nicht.
Da es viele solche A_User Gruppen gibt und über 400 Mitarbeiter, ist es extrem mühsam zu kontrollieren, ob jeder eine Zuteilung hat.

Ich hoffe ich konnte das einigermassen umschreiben.
Mit OUs zu unterteilen ist leider keine Option. Im Hosting Bereich dürfen wir das nicht.

Kann mir jemand helfen?
Danke
BeMe

Get-AdUser -Filter * -Property memberOf | ?{!($_.memberOf -like "*CN=A_User_*")}  

(&(objectCategory=user)(!(|(memberOf=CN=A_User_Gruppe1,OU=Groups,OU=xx,OU=xxx,DC=domain,DC=abc,DC=ch)(memberOf=CN=A_User_Gruppe2,OU=Groups,OU=xx,OU=xxx,DC=domain,DC=abc,DC=ch)))