через переменную, сохраняемую в сессии, например

В общем-то алгоритм тут один - клиент должен "дергать" что-то на сервере с заданной периодичностью. Если очередного сообщения от клиента не поступило, значит он в оффлайне.
Вариант 1) обычная загрузка страниц, сервер будет помнить о юзере с периодом = времени сессии с момента его авторизации. Т.е. в момент авторизации и в SessionOnEnd добавлять, удалять соответственно экземпляры юзеров в переменной (лучше сделать наверное одну коллекцию какую-нибудь и всех их там хранить) уровня Application, можно обновлять коллекцию еще и при загрузке страниц.
Вариант 2) добавлять на страницу уже авторизованного пользователя Java Script, который будет дергать сервер, из фрэйма какого-нибудь. Я так не делал, но это возможно. Преимущество - нет лага в период продолжительности сессии и больше соответствует дейтвительности.
Вариант 3) сделать кнопку выход, и состояние юзера хранить в БД, при этом проверяя его на давность входа и при закрытии сессии обновлять еще БД надо, (при этом в сессии что-то от юзера все равно надо хранить).
Вариант 4) используй внешние шлюзы аськи, мессенджеров и запрашивай их с пользовтелей.