Ich verstehe nicht ganz, was Du mit

Quote

Wenn ich $ENV{REMOTE_USER} auslesen will, ist die leer, egal ob das Login fehlschlug oder nicht.

meinst. Das Script wird doch nur bei fehlgeschlagenem Login ausgeführt. Und da stimme ich dir zu: das geht nicht und darf nicht gehen, weil $ENV{REMOTE_USER} bedeutet, dass die Authentifizierung geklappt hat.