La clase Exception acepta un código de error que no tiene nada que ver con el STATUS HTTP. Es decir, el hecho de que pongas 401 como segundo parámetro, no quiere decir que PHP tiene que tirar un header 401. De hecho, las excepciones no fueron pensadas para eso ni mucho menos. Fueron pensadas para que se pudiesen capturar y analizar, no que redirigan porque si.

Entonces lo que tendrias que hacer, es tirar una excepción con ese codigo (o cualquier otro..), y luego usar try/catch a la hora de ejecutar el método.

class SeguridadAuth {
 
    public function login($credenciales){
        if($credenciales['password'] !== '1234'){
            throw new Exception('Usuario no autorizado', 401);
        }
 
        return true;
    }
 
 
 
    public function realizarLogin(){
 
        $credenciales = array(
            'user' => 'Juan',
            'password' => '12345'
        );
 
        try {
 
            $this->login($credenciales);
 
        } catch(Exception $e){
 
            if($e->getCode() == 401){
                http_response_code(401);
                exit;
            }
 
        }
 
        return true;
    }
 

http://php.net/manual/es/language.exceptions.php
http://php.net/manual/es/class.exception.php
http://php.net/manual/es/function.http-response-code.php

Saludos