Macht dies .htaccess-Sicherheitseinstellung funktioniert wirklich?

Nein. Dies verhindert nicht Brute-Force-Angriffe. Bei einem Brute-Force-Angriff hat ein Angreifer die Kontrolle über alle Parameter der HTTP-Anfrage. ... (Fast) alle Brute-Force-Tools erlauben das Setzen eines Referers, und das Festlegen der Site selbst als Referer ist ziemlich Standard.