Sehr effektiv ist das Verfahren, fragliche Gruppen einfach aus dem NAB zu entfernen. Wenn niemand aufschreit, ist alles okay
Am ehesten kann man sich noch was für in ACLs verwendete Gruppen bauen (Suche über eine eigens hierfür gefertigte Ansicht in der catalog.nsf).
Was Dokumente angeht: Das wird aufwändig, auch, was die Laufzeit eines solchen Programms angeht. Zudem muss solch ein Programm unter einer ID laufen, die garantiert auf alle Dokumente in allen Datenbanken Zugriff hat. Verwenden könnte man den Teamstudio Configurator unter Verwendung der dort mitgelieferten ScriptLibrary "Configurator".
Etwas "einfacheres" ist mir nicht bekannt.
Bernhard