Hast recht.
Sitze hinter einer Firewall und habe standardmäßig xhost + in der .xinitrc (schon viele Jahre - ohoh).
Vernünftiger ist wohl xauth
Es ergibt sich (falls man das ganze nicht mit sux erschlagen will)

> xauth extract schluessel $DISPLAY
> su
> xauth merge schluessel