Kann man im Nachhinein sehen, was jemand mit einem USB-Stick an einem Mac gemacht hat?

Theoretisch müsste man im sys.log sehen können, das ein Volume gemounted wurde und wann es wieder entfernt wurde. Was dazwischen passiert ist, muss dann da und in anderen Logs suchen. Aber da wird nicht alles geloggt, nicht solange er zum Beispiel Apps startet, die Admin-Rechte brauchen. Dürfte ein Puzzlespiel werden - Datum und Uhrzeit zu wissen dürfte da sehr hilfreich sein. Entsprechend auch die Log-Rotation berücksichtigen.

1. Die Dateihistorie im Finder-Fenster „Zuletzt benutzt“ des Benutzers reicht sehr weit zurück.

2. Im Log erscheinen Einträge mit dem Namen des Volumes in dem Mount Point /Volumes/(Name des Volume).

Was man sonst noch über Operationen auf den Inhalt herausfinden kann, vermag ich nicht zu sagen, bzw. es ist wohl nicht viel: Über Einträge zu Operationen auf den Inhalt wird im Log der Mantel des Schweigens gelegt. Das ergibt dann Einträge wie

com.apple.DiskArbitration.diskarbitrationd <private>

Die Konsole ist hier nachträglich nicht hilfreich.

Zugang zu den Log-Dateien bietet jedoch Howard Oakleys App Ulbow. Link zur Product Page:

Ich kann hier keine Anleitung zum Gebrauch der App Ulbow geben, aber es reicht für einen Hinweis: Wenn man mehr Logeinträge über den Zeitraum von mehr als einige Sekunden abruft, dann greift eine Mengenbegrenzung, die man in den Preferences verändern kann.
Außerdem kam man in dem Menü „View“ den Haken bei „Limit Entries shown“ wegnehmen.

Ulbow muss auf einem Konto mit Administratorrechten ausgeführt werden, damit Zugang zu den Log-System gewährt wird.

Ich habe eben erst festgestellt, dass Zugriffe auf die Dateien externer Medien in der Auflistung Zuletzt benutzt" des Finders nicht erfasst werden.