> Wie stellt man so etwas fest? Ereignisanzeige?
Meiner Recherche zufolge ist deine Vermutung richtig. Zumindest der Zeitraum zwischen Hoch- und Herunterfahren des Rechners müsste angezeigt werden:
Systemsteuerung -> Verwaltung -> Ereignisanzeige -> System
Eventlog
6005 gestartet (Angemeldet)
6006 beendet (Herunterfahren)
Quelle:
Wie nachträglich kontrollieren wie und wann der PC benutzt wurde?
Bezieht sich deine Anfrage etwa auf die Untersuchung eines Alibis durch die Kripo auf BR-TV: Kontrovers (heute, 21:00 - 21:45 Uhr)?