Hallo AK1,

hast Du das Audit-Journal aktiv?

Das wäre sowieso eine gute Idee, und dort könnte man es so sehen:

Code:
DSPJRN JRN(QAUDJRN)       
RCVRNG(*CURCHAIN) FROMTIME('18.09.2015') TOTIME('18.09.2015') 
JRNCDE((T)) ENTTYP(PW) 
OUTPUT(*OUTFILE) OUTFILFMT(*TYPE2) OUTFILE(QTEMP/AUD)     

SELECT JODATE, JOTIME, JOESD FROM qtemp/aud
Damit kann man sehen, an welchem Terminal ein ungültiges USRPRF (U) oder ein ungültiges Passwort (P) eingegeben wurde.

Wer an welchem Terminal gesessen hat, ist eine andere Frage, vor allem bei QPADEVxxxx

Gruß,
Christian