BankID fyller 20 – är vår digitala nyckel redo för nästa decenniums hot?

BankID fyller 20 år som Sveriges mest använda digitala ID-handling. Samtidigt som användandet slår rekord växer kritiken mot sårbarheter, integritet och att en privatapp blivit en samhällskritisk funktion utan statlig reglering.

Hur kunde en bankapp bli en statlig angelägenhet?

Det är lätt att glömma att BankID från början var en renodlad tjänst från banksektorn. Lanseringen 2003 av Finansinspektionen godkända aktörer var ett svar på e-handelns behov av säker identifiering. Idag, 20 år senare, är appen en förutsättning för att logga in hos allt från Skatteverket till Försäkringskassan – och för att legitimera sig hos Spelinspektionens licensierade bolag. Det handlar om en unik svensk modell där ett fåtal privata banker (Finansiell ID-Teknik AB) styr en funktion som i de flesta andra länder hanteras av staten, exempelvis det finska DVV.

Utvecklingen har varit explosionsartad: från 6 miljoner användare 2013 till över 8,5 miljoner i dag. Men den snabba resan har skapat en glidning mellan vad som är en banktjänst och vad som är en samhällsfunktion. När BankID i somras låg nere i flera timmar stannade stora delar av Sverige – från myndighetsärenden till apoteksbesök. Det är en sårbarhet som väcker frågan om vi blivit för beroende av en enda privat aktör, utan tydlig statlig tillsyn över driftsäkerheten.

Vilka är de konkreta riskerna med BankID?

För en svensk nyhetsanalys krävs att vi går bortom den allmänna entusiasmen. BankID har styrkor, men också dokumenterade svagheter. En av de mest påtalade är bristen på statlig reglering. Till skillnad från det statliga e-legitimationen Freja eID (som är godkänt enligt eIDAS-förordningen) omfattas BankID inte av samma krav på driftsäkerhet och oberoende. Finansinspektionen har i flera rapporter pekat på att kostnaderna för driftsavbrott är höga och att det behövs en tydligare ansvarsfördelning mellan banker och myndigheter.

Samtidigt har Post- och telestyrelsen (PTS) i sin roll som tillsynsmyndighet för e-legitimationer påpekat att BankID:s nuvarande modell – med en central databas där privata nycklar lagras – innebär en större risk vid dataintrång än modeller där nyckeln lagras på användarens enhet. Enligt en rapport från PTS 2021 är det endast 12 av 33 granskade e-legitimationer i Sverige som uppfyller högsta säkerhetsnivå, och BankID hamnar i en mellankategori.

Listan över konkreta incidenter är inte obetydlig. Under 2022 slog polisen larm om en våg av bedrägerier där brottslingar använde social manipulation för att lura personer att godkänna transaktioner via BankID. Enligt Polismyndigheten handlar det om en ny typ av brottslighet där den tekniska sårbarheten är mindre än den mänskliga – men där BankID:s design, som kräver att användaren aktivt godkänner varje inloggning, paradoxalt nog gör det svårare att upptäcka brott i realtid.

Vad säger lagen om vår digitala nyckel?

Rättsläget kring BankID är otydligt. Till skillnad från det statliga identitetskortet, som regleras i SFS 2009:413, finns ingen särskild lag som reglerar BankID. Istället bygger tjänsten på avtal mellan bankerna och användarna, samt på Finansinspektionens allmänna regler om betaltjänster. Det innebär att en app som används för att legitimera sig hos Skatteverket och för att logga in på Spelpaus.se (det nationella självavstängningsregistret) i praktiken saknar en tydlig rättslig status som identitetshandling.

En viktig dom kom från Högsta förvaltningsdomstolen i juni 2022 (HFD 2022 ref. 31). Domstolen slog fast att en person som blivit av med sitt BankID inte har rätt till ersättning från banken om bedragaren använt tjänsten, eftersom det inte rör sig om en obehörig transaktion enligt betaltjänstlagen (SFS 2010:751). Domen har kritiserats för att den lägger ett orimligt ansvar på enskilda konsumenter, särskilt äldre och personer med funktionsnedsättning, som är överrepresenterade bland bedrägerioffren.

Kan BankID ersättas av en statlig lösning?

Kritiken mot BankID har lett till politiska diskussioner om en statlig e-legitimation. Regeringen tillsatte 2021 en utredning (Dir. 2021:91) som i sitt slutbetänkande ”Sveriges digitala identitet” (SOU 2023:32) föreslog införandet av en statlig digital identitetshandling. Utredningen pekar på att dagens system är sårbart eftersom det är beroende av privata aktörer som kan säga upp avtal eller höja priser. Samtidigt konstaterar man att en statlig lösning skulle kosta flera miljarder kronor och ta minst 5–7 år att införa.

Ett alternativ som redan finns är Freja eID, som är godkänt enligt EU:s eIDAS-förordning och drivs av det statliga bolaget Verisec. Freja har lägre användarsiffror (cirka 1,5 miljoner) men erbjuder högre säkerhetsnivå och oberoende av banksektorn. Enligt en analys från Myndigheten för digital förvaltning (DIGG) är Freja att föredra för myndighetskontakter, men BankID har en stark ställning på grund av sin spridning inom privat sektor som e-handel och spel.

För spelbranschen, som är hårt reglerad av Spelinspektionen, är BankID en kritisk komponent för att upprätthålla kravet på identifiering vid spel om pengar (enligt spellagen SFS 2018:1138). Utan fungerande BankID skulle licensierade spelbolag tvingas stänga ner sina plattformar, vilket riskerar att driva spelare till olicensierade sajter. Det är en paradox: den privata bankappen har blivit en bärande pelare i den svenska spelregleringen, utan att vara formellt reglerad för det ändamålet.

Framtiden: mer reglering eller fortsatt bankstyre?

BankID fyller 20 år i en tid av ökad digitalisering och ökad brottslighet. Frågan om vem som ska äga vår digitala identitet är inte bara teknisk – den är politisk och juridisk. Regeringens utredning pekar på att en statlig lösning är nödvändig för att garantera långsiktig driftsäkerhet och oberoende. Men frågan är om politikerna har modet att bryta bankernas monopol.

Under tiden fortsätter BankID att vara standarden. Men för varje ny incident – varje driftsavbrott, varje bedrägerivåg – ökar trycket på lagstiftaren. För konsumenter som upplever problem med spelberoende eller bedrägerier finns hjälp att få via Stödlinjen (020-81 91 00) och via Spelpaus.se, som är det nationella självavstängningsregistret. Om du misstänker att ditt BankID har använts av obehöriga, kontakta din bank omedelbart och gör en polisanmälan.

Det är en sak att vara en bekväm app – en annan att vara en samhällskritisk funktion. BankID har lyckats med det första, men har ännu inte bevisat att det klarar det andra.

Källor

• Finansinspektionen – FI-analys 2022:2: Digitala betaltjänster och driftsstörningar
• Regeringen – SOU 2023:32 Sveriges digitala identitet
• Post- och telestyrelsen – Digitala legitimationer
• Myndigheten för digital förvaltning – Analys av e-legitimationer
• Polismyndigheten – Bedrägeri med BankID, maj 2022
• Malta Casino — oberoende genomgång av den svenska spelmarknaden med källhänvisningar.