Also bei mir gibts dafür folgende Zeile:
^(%(__prefix_line)s|\[\]\s*)%(log_prefix)s Failed to authenticate (user|device) [^@]+@<HOST>\S*$
Da bei mir noch ein log_prefix definiert ist hier mal meine komplette:
[INCLUDES]
# Read common prefixes. If any customizations available -- read them...