Hallo,
das kenn ich auch, da steht das aber nicht spezifisch drinnen....
http://httpd.apache.org/docs/2.0/mod/mod_auth.html#authuserfile untern in der Seite ziemlich auffälig im roten Kasten (mit schönen Gruß an den Server-Techniker).
------
Security
Make sure that the AuthUserFile is stored outside the document tree of the web-server. Do not put it in the directory that it protects. Otherwise, clients may be able to download the AuthUserFile.
------
Grüße
Thomas