BankID lanserades 2003 som en enkel e-legitimation för internetbanken. Tjugo år senare används tjänsten över 6 miljarder gånger per år och har blivit en kritisk del av svensk digital infrastruktur. Men systemet är varken statligt eller reglerat i lag – det drivs av bankerna själva. Denna analys förklarar hur BankID fungerar, varför det är så svårt att byta ut och vilka risker som finns med att en privat tjänst blivit en samhällsbärande funktion.
BankID är inte en myndighet – men fungerar som en
BankID ägs och drivs av Finansiell ID-Teknik AB, ett bolag som kontrolleras av de svenska storbankerna: Swedbank, SEB, Nordea, Danske Bank och Handelsbanken. Trots att tjänsten används för att logga in hos Skatteverket, Försäkringskassan och andra myndigheter, omfattas den inte av någon särskild lagstiftning. Istället regleras BankID genom avtal mellan bankerna och genom Finansinspektionens allmänna tillsyn över betaltjänster.
Enligt lagen (2016:561) om kvalificerade elektroniska underskrifter är BankID en godkänd e-legitimation, men lagen ställer inga krav på att just BankID ska användas. I praktiken har dock myndigheter och privata aktörer byggt sina system så att BankID är den enda fungerande lösningen. Detta har skapat ett de facto-monopol som Riksbanken flera gånger varnat för i sina rapporter om det svenska betalningssystemet.
Så fungerar tekniken bakom BankID
BankID bygger på asymmetrisk kryptering med publika och privata nycklar. När en användare aktiverar sitt BankID på en mobiltelefon skapas ett nyckelpar: en privat nyckel som lagras i telefonens säkra hårdvara, och en publik nyckel som skickas till bankens server. Vid varje inloggning eller signering används den privata nyckeln för att skapa en digital signatur som kan verifieras med den publika nyckeln.
Systemet är utformat så att banken aldrig har tillgång till användarens privata nyckel. Detta innebär att även om bankens servrar skulle komprometteras, kan angripare inte skapa falska signaturer. Däremot är användarens telefon den svaga punkten – om en angripare får fysisk eller fjärråtkomst till en olåst telefon kan BankID användas utan ytterligare autentisering.
- Antal aktiva användare (2023): cirka 8,5 miljoner
- Antal transaktioner per år: över 6 miljarder
- Andel svenskar över 18 år som använder BankID: cirka 95 procent
- Genomsnittligt antal inloggningar per användare och dag: cirka 2,5
Enligt BankIDs egna statistik har tjänsten aldrig haft en allvarlig säkerhetsincident som lett till att användares privata nycklar läckt ut. Däremot har flera fall av social engineering – där användare lurats att själva signera överföringar – lett till stora bedrägerier. Under 2022 anmäldes över 40 000 fall av ID-kapning till polisen, enligt Brottsförebyggande rådet (Brå).
Reglering och ansvar – vem bär kostnaden vid bedrägeri?
När ett BankID används för att genomföra en obehörig transaktion uppstår frågan om vem som bär ansvaret. Enligt konsumentkreditlagen (2010:1846) och betaltjänstlagen (2010:751) har konsumenten rätt till återbetalning om transaktionen inte godkänts av användaren. Men om användaren själv har lämnat ut sin kod eller signerat en överföring under falska förespeglingar, kan ansvaret falla tillbaka på konsumenten.
Finansinspektionen har i flera tillsynsärenden kritiserat banker för att inte ha tillräckliga rutiner för att hantera bedrägerier. I ett uppmärksammat fall från 2021 dömdes en storbank att betala tillbaka 1,2 miljoner kronor till en kund som blivit lurad att signera en överföring via BankID. Domen, som meddelades av Allmänna reklamationsnämnden (ARN), slog fast att banken inte hade gjort tillräckligt för att varna kunden.
Samtidigt pågår en politisk debatt om huruvida BankID borde regleras hårdare. I en utredning från 2022 föreslog Utredningen om en säker och tillgänglig digital identitet (SOU 2022:34) att staten borde ta över ansvaret för e-legitimationer. Förslaget har dock inte lett till någon lagstiftning, och bankerna har motsatt sig statlig inblandning med hänvisning till att systemet fungerar väl.
Spelbranschen och BankID – en sårbar koppling
En av de mest kontroversiella användningarna av BankID är inom den reglerade spelmarknaden. Sedan spellagen (2018:1138) trädde i kraft 2019 krävs att alla licensierade spelbolag använder BankID för att verifiera ålder och identitet. Detta har gjort det möjligt för Spelinspektionen att effektivt övervaka spelmarknaden, men har också skapat nya risker.
Eftersom BankID är kopplat till användarens bankkonto, kan en spelare i teorin förlora stora summor på kort tid utan att behöva göra några manuella överföringar. Spelinspektionen har i flera rapporter pekat på att den snabba inloggningen och betalningen via BankID kan bidra till impulsspelande och förvärra spelproblem. Under 2023 infördes därför krav på att spelbolag måste erbjuda insättningsgränser och tidsbegränsningar, men kritiker menar att åtgärderna är otillräckliga.
För personer med spelproblem finns Spelpaus.se, en nationell självavstängningstjänst som också bygger på BankID. Genom att logga in med BankID kan en person stänga av sig från allt licensierat spel i minst en månad. Tjänsten har använts av över 100 000 personer sedan starten, enligt Spelinspektionens statistik. För den som behöver stöd finns Stödlinjen på telefon 020-81 91 00.
Framtiden – kan BankID ersättas?
Flera initiativ pågår för att skapa alternativ till BankID. E-legitimationsnämnden, en statlig myndighet, driver projektet Svensk e-legitimation som syftar till att ta fram en statligt kontrollerad digital identitet. Även EU:s förordning om eIDAS 2.0, som väntas träda i kraft 2025, kommer att kräva att varje medlemsland erbjuder en digital plånbok för identitetshantering.
Men att byta ut BankID är tekniskt och organisatoriskt komplicerat. Systemet är djupt integrerat i allt från banktjänster till vårdens digitala system och myndigheternas e-tjänster. Enligt en rapport från Regeringskansliet skulle en övergång till ett nytt system ta minst fem år och kosta flera miljarder kronor.
Samtidigt ökar kraven på att BankID ska bli mer tillgängligt för personer som av olika skäl inte har ett svenskt personnummer eller bankkonto. Idag är det i praktiken omöjligt för en utländsk medborgare att skaffa BankID, vilket skapar problem för integration och arbetsmarknad. Flera remissinstanser har påpekat att detta strider mot EU:s princip om icke-diskriminering.
Källor
- BankID – officiell statistik och säkerhetsinformation
- Finansinspektionen – regler för betaltjänster och e-legitimation
- Riksbanken – betalningssystemet och digitala identiteter
- SOU 2022:34 – En säker och tillgänglig digital identitet
- Spelinspektionen – tillsyn av spellagen och Spelpaus
- Brottsförebyggande rådet – statistik över ID-bedrägerier
- den löpande bevakningen — löpande sammanställning av reglering och tillsyn på den svenska marknaden.