Nur damit ich es selbst nicht vergesse – die Einträge für eine An- bzw. Abmeldung auf einem Windows 7 Client in einer Domäne:

Ereignisanzeige >> Windows-Protokollierung >> Windows-Protokolle >> Sicherheit

Anmeldung –> Ereignis-ID 4648 (4624)
Abmeldung –> Ereignis-ID 4634 (4647)

Und falls jemand mit der Filterung Probleme haben sollte, hier ein Bild, das mehr als 1000 Worte sagt: