В БД. А хранят там обычно не список имён авторизовавшихся, а время последнего проявления активности. Если разница между сохранённым временем и текущим менее 15 минут - то пользователь показывается в списке, если больше - то нет.