Liam Nebel rörde sig i nätmiljöer där tidigare våldsdåd och massmördare glorifierades. Strax före attacken på Brinellskolan publicerades dessutom en bild på ett svärd på ett konto som polisen misstänker att han drev. Nu kallar polisen det ett misslyckande att han inte upptäcktes i tid. Men det som går att hitta i efterhand är inte nödvändigtvis samma information som polisen faktiskt hade framför sig före dådet.
Polisens självkritik efter attacken i Fagersta har blivit tydligare.
I en intervju med Ekot säger Christian Tysklind vid polisen att myndigheten ser det som ett misslyckande att Liam Nebel inte upptäcktes och stoppades innan attacken mot Brinellskolan den 21 augusti.
Uttalandet kommer efter en kartläggning av Nebels aktivitet på nätet. Där framträder en person som under tiden före attacken befann sig i digitala miljöer där tidigare skolattacker och andra våldsdåd diskuterades och i vissa fall glorifierades.
Polisen arbetar redan under täckmantel i sådana miljöer. Problemet är att se rätt person i tid.
– Det är ett misslyckande att vi inte hann stoppa Liam, säger Tysklind till Ekot.
Frågan efter Fagersta är därför inte bara om varningssignaler fanns.
Det gjorde de.
Den svårare frågan är vilka av dem polisen faktiskt kunde se, koppla till rätt person och bedöma som ett konkret hot innan attacken började.
Varningssignalerna som syns i efterhand
Flera uppgifter om Nebels aktiviteter före attacken har blivit kända efteråt.
P4 Västmanland har rapporterat att ett Tiktok-konto som kopplas till Nebel innehöll referenser till bland annat skolattacken i Trollhättan och andra massmördare.
Enligt Aftonbladet hade kontot tusentals följare och delade ett stort antal videor om massmördare och skolattacker.
Tidningen uppger också att en bild på ett svärd publicerades på kontot klockan 13.41 den 21 augusti.
Det första larmet till polisen om attacken kom klockan 14.06.
Om uppgiften om publiceringstiden stämmer låg svärdsbilden alltså ute omkring 25 minuter innan det första larmsamtalet.
Polisen misstänker att Nebel drev kontot, men det finns i dagsläget inget offentligt besked om att myndigheten kände till kontot eller hade kopplat dess alias till Nebel när bilden publicerades.
Det är en avgörande skillnad.
Att något finns på nätet betyder inte att polisen ser det
Efter ett våldsdåd kan digitala spår samlas ihop och läggas bredvid varandra.
Ett konto.
En video.
Ett alias.
En kommentar.
En bild på ett vapen.
Kontakt med andra personer i samma nätmiljö.
När allt visas samtidigt kan utvecklingen framstå som tydlig.
Före ett dåd ser verkligheten annorlunda ut.
Polisen måste först hitta innehållet bland enorma mängder material. Därefter måste användaren bakom ett alias identifieras. Sedan måste materialet bedömas: är det en person som konsumerar extremt innehåll, någon som provocerar eller fantiserar – eller någon som faktiskt håller på att förbereda ett våldsdåd?
Det är den kedjan som nu står i centrum efter Fagersta.
I vår tidigare genomgång av polisens dagliga tips om möjliga skolattacker framgår hur svårt det är att skilja allmän oro och mörkt nätbeteende från ett hot som är tillräckligt konkret för att motivera ett ingripande.
I Nebels fall tycks kedjan ha brustit innan polisen kom så långt.
Polisen beskriver två stora problem
Christian Tysklind pekar framför allt ut två problem i polisens arbete i våldsbejakande nätmiljöer.
Det första är identifieringen.
En person kan vara mycket aktiv under ett alias utan att polisen vet vem som faktiskt sitter bakom kontot. Att följa en användare digitalt och att koppla den användaren till ett namn, en adress och en fysisk person är två olika saker.
Det andra är prioriteringen.
I miljöer där extrema budskap är vanliga kan polisen möta stora mängder personer som skriver om våld, glorifierar gärningspersoner eller publicerar stötande material.
Resurserna räcker inte till för att bedriva samma djupa kartläggning av alla.
Den avgörande uppgiften blir därför att identifiera vem som håller på att ta steget från fascination till konkret planering.
Det är också där risken för ensamagerande gärningspersoner blir särskilt svår.
De behöver inte tillhöra en organisation, ingå i ett etablerat nätverk eller diskutera sina planer med personer som redan är kända av polisen.
Svärdsbilden är tydlig i efterhand – men räcker inte ensam
Svärdsbilden som ska ha publicerats strax före attacken är den mest konkreta offentligt kända signalen.
Men inte heller den bevisar att polisen borde ha kunnat stoppa attacken.
För att göra det hade någon först behövt se bilden i realtid, förstå att den kunde vara kopplad till ett förestående våldsdåd, identifiera personen bakom kontot och kunna avgöra var han befann sig.
Det finns inget offentligt belägg för att den kedjan fanns på plats före det första larmsamtalet.
Det betyder inte att signalen var betydelselös.
Tvärtom blir den viktig när den kombineras med den övriga nätaktiviteten.
Men hela bilden fanns sannolikt inte samlad hos en och samma aktör.
Uppgifter om att Nebel kan ha varit beväpnad redan dagen före
DN har rapporterat att en nätkontakt till Nebel uppgett att han var beväpnad på Brinellskolan redan dagen före attacken, men då avstod från att genomföra den.
Även Aftonbladet har publicerat uppgifter om att han ska ha haft med sig svärd och maskering till skolan före attackdagen.
Uppgifterna är allvarliga men fortfarande just uppgifter från medier och personer i hans nätkontakter. De är inte offentligt fastslagna av polis eller åklagare.
Om de bekräftas blir nästa fråga central:
Visste någon vuxen, myndighet eller nätkontakt att han befann sig nära ett faktiskt genomförande?
Om informationen endast fanns hos personer i privata chattar eller i nätmiljöer som inte bevakades hade polisen små möjligheter att agera på den.
Om någon däremot slog larm och uppgiften ändå inte ledde vidare blir frågan en helt annan.
Det är ännu inte klarlagt.
Riskmarkörer fungerar inte som en checklista
Det kan vara frestande att i efterhand rada upp riskfaktorer och dra slutsatsen att attacken borde ha gått att förutse.
Så enkelt fungerar inte hotbedömningar.
Fascination för tidigare skolattacker, våldsfilmer, vapen, extrema forum och så kallat läckage på sociala medier kan vara viktiga varningssignaler.
Men samma beteenden förekommer även hos människor som aldrig kommer att genomföra våld.
Det avgörande är utvecklingen.
Blir uttalandena mer konkreta?
Finns en utpekad plats eller tid?
Har personen skaffat vapen?
Har han sökt information om genomförandet?
Tar han farväl?
Försöker han få uppmärksamhet inför ett dåd?
Dyker han upp på den tänkta platsen?
När flera sådana delar sammanfaller förändras riskbilden snabbt.
Utmaningen är att någon måste se dem tillsammans.
Myndigheter kan sitta på olika delar av bilden
En annan möjlig svaghet är att information om en person kan vara utspridd mellan olika aktörer.
Skola kan känna till ett beteende som inte är känt av polisen.
Socialtjänsten kan ha en äldre historik.
Polisen kan känna till ett tidigare brott.
Nätvänner kan känna till det senaste och mest extrema beteendet.
En plattform kan ha teknisk information om ett konto.
Var och en kan sitta på en pusselbit utan att någon ser hela mönstret.
Det betyder inte att all information ska delas fritt mellan myndigheter eller att varje ungdom med problem ska behandlas som en potentiell gärningsperson.
Men just möjligheten att upptäcka när flera allvarliga signaler börjar peka åt samma håll blir en av de viktigaste frågorna efter Fagersta.
För den som vill förstå hur skolornas skyddsarbete förändrats finns också vår guide till de nya säkerhetskraven i skolan. Det är dock en annan del av problemet: att skydda en skola när ett hot uppstår är inte samma sak som att identifiera en gärningsperson långt tidigare.
Ny kommission ska granska just den här typen av signaler
Regeringen meddelade efter attacken att en särskild Skoldådskommission ska tillsättas.
Uppdraget omfattar bland annat hur polis, skola, socialtjänst och vård tidigare kan identifiera riskbeteenden och hur digitala miljöer som främjar våld ska hanteras.
Kommissionen ska också titta på vilka krav som kan ställas på plattformar för att upptäcka hot och våldsbejakande innehåll tidigare.
Det gör Fagerstaattacken till mer än ett enskilt polisärende.
Den kan påverka hur Sverige framöver försöker upptäcka ensamagerande gärningspersoner innan ett hot blivit ett pågående våldsdåd.
Regeringen beskriver Skoldådskommissionens uppdrag här.
Polisen bygger redan ut sin närvaro på nätet
Arbetet börjar inte från noll.
Polisen hade redan före attacken inlett en utbyggnad av sin digitala inhämtning och sökt personal som ska arbeta med att identifiera och bearbeta information på sociala medier.
Myndigheten har också efterfrågat större möjligheter att ingripa mot brottslighet som sker digitalt.
Men Fagersta visar hur höga kraven blir om samma metoder också ska användas före ett ensamagerande våldsdåd.
Att hitta våldsamt innehåll är en sak.
Att hitta rätt person innan personen själv avslöjar vad han tänker göra är betydligt svårare.
Fyra frågor återstår efter polisens självkritik
Polisens uttalande gör granskningen av tiden före attacken viktigare.
Fyra frågor är fortfarande obesvarade:
- Kände polisen till något av Liam Nebels alias före den 21 augusti?
- Fanns poliser under täckmantel i samma nätmiljöer där han var aktiv?
- Rapporterade Tiktok, någon nätkontakt eller någon annan användare hans aktivitet före attacken?
- Fanns information hos skola, socialtjänst eller polis som tillsammans hade kunnat förändra hotbedömningen?
Svar på de frågorna kommer avgöra hur långt polisens ord om ett ”misslyckande” faktiskt sträcker sig.
Det är redan möjligt att konstatera att varningssignaler fanns.
Det går däremot ännu inte att slå fast att polisen hade dem framför sig, kunde koppla dem till Liam Nebel och ändå lät bli att agera.
Det är skillnaden mellan ett tydligt mönster i efterhand och ett hot som går att stoppa i realtid.
Och det är den luckan polisen nu måste försöka göra mindre.