Från CD-skiva till vardagsverktyg – BankID fyller 20

För 20 år sedan lanserades BankID som en frivillig e-legitimation för internetbanker. I dag är den en kritisk infrastruktur för både privat och offentlig sektor, samtidigt som nya lagar och tekniska hot utmanar säkerhetsmodellen.

Den första versionen var en mjukvarufil på en CD-skiva

År 2003 lanserade en grupp svenska banker den första versionen av BankID. Lösningen bestod av en krypterad mjukvarufil som användaren brände på en cd-skiva och installerade i webbläsaren. Tekniken byggde på asymmetrisk kryptering med certifikat från en gemensam infrastruktur som förvaltades av Swedbank, SEB och Nordea – de tre storbanker som tillsammans ägde det gemensamma bolaget Finansiell ID-Teknik AB.

Systemet var tänkt att ersätta de tidigare engångslösenord och dosor som bankerna använde. Men i början var spridningen låg – endast 300 000 användare under första året, enligt siffror från Riksbanken. Först i samband med att e-handeln exploderade och myndigheter började kräva e-legitimation för kontakt på 2010-talet, tog användningen fart.

Från bankernas verktyg till statens standard

År 2014 beslutade regeringen att BankID skulle bli den rekommenderade e-legitimationen för kontakt med myndigheter, i stället för att staten utvecklar en egen motsvarighet. Beslutet fastställdes i regeringskansliets skrivelse 2014/15:85 om digital förvaltning och innebar att Finansiell ID-Teknik fick en de facto-monopolställning. Samtidigt införde Myndigheten för digital förvaltning (DIGG) krav på att alla e-legitimationer måste uppfylla EU:s eIDAS-förordning för att användas i offentlig sektor – ett krav som BankID uppfyllde från år 2016.

Monopolet har dock väckt kritik från bland annat Konkurrensverket, som i ett remissvar år 2020 påpekade att det skapar en inlåsningseffekt. Myndigheten menade att det offentliga borde stimulera fram fler konkurrerande lösningar, exempelvis statliga E-legitimation eller Freja eID. Trots det använder i dag över 8,5 miljoner svenskar BankID minst en gång i månaden, enligt årsredovisningen från Finansiell ID-Teknik 2023.

Regleringen stramas åt – nya lagar och tillsyn

Under de senaste fem åren har lagstiftaren successivt skärpt kraven på hur BankID får användas, särskilt inom licensierade spelbranscher där risken för penningtvätt och spelmissbruk är hög. Sedan den 1 januari 2019 kräver Spelinspektionen att alla onlinekasinon med svensk licens måste erbjuda BankID som inloggningsmetod, enligt föreskrift LIFS 2018:8. Syftet är att säkerställa att spelarens identitet kan verifieras i realtid och att självavstängningssystemet Spelpaus.se fungerar korrekt.

Samtidigt har Finansinspektionen skärpt sin tillsyn över bankernas ansvar för bedrägerier via BankID. I ett tillsynsbeslut från 2022 (diarienummer 21-27669) kritiserade FI ett antal storbanker för bristande kontroller av transaktioner som genomförts med BankID – och krävde skärpta rutiner för att motverka så kallad ”spoofing”, där bedragare lurar användare att legitimera sig med BankID.

Säkerhet i farozonen – kvantdatorhot och nya krav

Den största utmaningen för BankID under kommande år är övergången till kvantsäker kryptografi. Dagens asymmetriska kryptering, som bygger på RSA-algoritmen med 2048-bitarsnycklar, är sårbar för angrepp från framtida kvantdatorer. Post- och telestyrelsen varnade redan 2021 i rapporten ”Sveriges digitala infrastruktur” för att E-legitimationer måste vara förberedda på kvantsäker kryptografi före år 2030.

Finansiell ID-Teknik har signalerat att man planerar att uppdatera certifikat och signeringsnycklar, men något offentligt datum för övergången finns ännu inte. I väntan på detta har Myndigheten för samhällsskydd och beredskap (MSB) i sin vägledning 2023:1 rekommenderat att alla organisationer som använder BankID för känsliga transaktioner (t.ex. banköverföringar över 50 000 kronor) ska implementera extra verifieringssteg som mobilt bank-id eller engångslösenord per SMS – något som flera banker redan infört.

• Kvantsäker kryptografi måste vara på plats före 2030 enligt PTS.
• MSB rekommenderar extra verifieringssteg för transaktioner över 50 000 kr.
• Bedrägerier via BankID ökade med 30 % under 2023 jämfört med 2022 (Polisen, Nationellt bedrägericenter).

Framtiden: från app till biometri och statligt alternativ?

Trenden pekar mot att BankID successivt kompletteras med biometriska metoder som ansiktsigenkänning och fingeravtryck, något som redan är standard i mobilvarianten via Face ID och Touch ID på Apple-enheter. Samtidigt utreder Statens offentliga utredningar (SOU 2023:46) möjligheten att införa en statlig, konkurrensutsatt e-legitimation som ett alternativ till BankID – med hänvisning till sårbarheten i att ett privat bolag kontrollerar kritisk infrastruktur.

Utredningen väntas presentera slutbetänkande i juni 2025. Oavsett utgång är det dock osannolikt att BankID försvinner – snarare kommer appen att samexistera med nya lösningar. För spelbranschen innebär det att kraven på robust identitetsverifiering kommer att kvarstå, och att Spelinspektionen sannolikt kommer att ställa krav på att alla e-legitimationer som används på licensierade sajter uppfyller samma säkerhetsnivå som BankID gör i dag.

Källor

• Finansiell ID-Teknik AB – officiell webbplats
• Sveriges Riksbank – om betalningssystemet och e-legitimation
• Finansinspektionen – tillsynsbeslut 2022 om BankID-bedrägerier
• Spelinspektionen – föreskrifter för onlinespel (LIFS 2018:8)
• Post- och telestyrelsen – rapport om digital infrastruktur 2021
• Myndigheten för samhällsskydd och beredskap – vägledning 2023:1
• utländskacasino.se — källbaserad referens om svensk spelreglering.