Gregor Ansbach hat eine Hütte im Wald, in deren Keller er am Computer die Kommissarin Ellie Stocker beobachtet. Auf diese Weise erfährt er, dass Ellie mit ihrem Teamleiter Claas Wallinger eine Affäre begonnen hat.
Vor einiger Zeit hatte Ansbach für die Firma Dat.Sec gearbeitet. Beim Vorstellungsgespräch hatte er den Chef, Johannes Tischler, von seinen Qualitäten überzeugen können. Tischler wurde später brutal ermordet. Die Polizei glaubt bisher, Tischler habe aus der Firma Daten gestohlen und diese verkauft und sei von der russischen Mafia hingerichtet worden.
Weil der "Krampus-Killer" im Fall der ermordeten Assistentin von Lokalpolitiker Hässmann von seinem Modus Operandi abgewichen ist, lässt Gedeon Winter alle ähnlichen Taten der vergangenen 20 Jahre im süddeutschen Raum und Österreich von seinem Team überprüfen. Dabei stoßen sie auf den Fall Tischler, dessen Mörder bisher nicht gefunden wurde. Die Polizei lädt ehemalige Mitarbeiter der Firma vor, darunter auch Gregor Ansbach.
Dank Reporter Charles Turec bleibt der "Krampus-Killer" in den Schlagzeilen der Presse. Die Story wird für Turec zur Geschichte seines Lebens. Ungefähr zu selben Zeit meldet sich der Schnitzer Vincenz Lang bei der Polizei. Lang stellt Krampus-Masken her und hat vor einiger Zeit ein paar an einen Kunden verkauft. Bei einer Gegenüberstellung, zu der auch Ansbach geladen wird, kann Lang jedoch niemanden identifizieren.
Milica droht der Verlust ihres Jobs. Als ihr junger Kollege Fred sie vergewaltigen will, flieht sie in den Wald und findet Zuflucht in Gregor Ansbachs Hütte.
Unterdessen plant der Killer seine nächste Tat – einen raffiniert eingefädelten Anschlag auf ein Einkaufszentrum. Doch diesmal ist ihm die Polizei bereits auf der Spur. Sein weißer Lieferwagen mit abweichenden Nummernschildern vorne und hinten hatte einen Polizisten misstrauisch gemacht. Kurze Zeit später parkt das Fahrzeug vor der Shoppingmall "Salz-Arkaden" in Salzburg. Viele Menschen sind dort wegen einer im Netz angekündigten Rabatt-Aktion hingekommen, die jedoch vom Täter nur inszeniert war. Gedeon Winter will die Arkaden evakuieren lassen, doch es ist bereits zu spät – die Autobombe explodiert und tötet ein Kind, mehrere Menschen werden verletzt.
Die Presse überschlägt sich mit Nachrichten über den Anschlag. Milica wundert sich über Gregors Reaktion auf die Tat. In einer Pressekonferenz der Polizei nach dem Anschlag nennt Ellie den Täter einen "bösartigen Feigling". Der rächt sich und sendet Turec einen Audio-Link von einer intimen Begegnung zwischen Ellie und Claas.
Turec macht die Beziehung publik. Die Presse wirft der Polizei Untätigkeit vor. In Ansbachs Keller, in den sie heimlich schleicht, entdeckt Milica Fotos der Opfer und Krampus-Masken. Mit ihrem Handy läuft sie in den Wald, verfolgt von Ansbach. Sie kann noch einen Notruf absetzen. Dann stellt er sie.
