Entweder der Benutzer hinterlässt direkt einen Eintrag in /var/log/wtmp, was du mit 'who' oder 'last' auch anzeigen kannst, oder du suchst dir aus /var/log/auth einfach die passenden Einträge raus. -- Stefan