Ein Gedanke den ich selbst aber nie getestet habe. Wäre es nicht möglich nach dem Abmelden im Header ein "401 Unauthorized" zurückzugeben?