Efter nio år som eID-analytiker med fokus på svenska betalflöden och spelbranschens compliance har jag lärt mig att bankid betting är ett av de mest missförstådda momenten i hela transaktionskedjan. Spelaren ser en QR-kod, håller upp mobilen, trycker på en knapp – och tänker sig att det handlar om inloggning. I själva verket är varje BankID-signering i betting-flödet ett rättsligt bindande beslut som binder ihop kryptografi, penningtvättslagens KYC-krav och Spelinspektionens realtidskontroller till en enda liten pling-notis.
I den här texten reder jag ut hur bankid betting fungerar på svensk-licensierad marknad från kontoöppning till uttag, varför alternativet ”utan BankID” i praktiken slutade vara ett alternativ 2019, och vad du gör när verifieringen fastnar mellan din bank och operatörens PSP. Jag håller mig till mekaniken och rätten – bonusar, säkerhetsråd om lösenord och den bredare ”hur skyddar jag mig”-diskussionen ligger i andra guider på sajten.
Fem gånger BankID kliver in innan din insats är placerad
En vanlig söndagseftermiddag ber en Allsvenskan-bettare mig räkna hur många gånger han rört BankID-appen från soffan tills insatsen var placerad. Han gissade två. Rätt svar var fem, och det är inte ovanligt. Varje steg i flödet har en egen juridisk och teknisk anledning att kräva stark autentisering, och de går inte att slå ihop till en enda signering utan att operatören hamnar utanför licensvillkoren.
Första gången är kontoöppningen. Här används BankID för fjärrlegitimering enligt penningtvättslagen (2017:630); operatören måste veta att du är du, inte bara att du är en verklig person. Personnummer, folkbokföringsadress och åldersspärr på 18 år hämtas via BankID-svaret och matchas mot spelbolagets KYC-motor. Det är också vid detta steg som Spelinspektionens PEP- och sanktionslistor körs.
Andra gången är inloggningen till spelkontot. Många licenshavare har helt slopat användarnamn och lösenord till förmån för BankID-only-inloggning, eftersom en färsk signering i sig utgör tvåfaktorsautentisering. Tredje gången sker i bakgrunden och märks bara av den som tittar på webbtrafiken: en Spelpaus-kontroll där ditt personnummer skickas till Spelpaus.se för realtidsuppslag. Är du avstängd bryts flödet innan insättningsdialogen ens ritas ut.
Fjärde gången är själva Swish-signeringen mot din bank. Här signerar du inte en inloggning utan en betalning: belopp, mottagare och tidsstämpel bakas in i den kryptografiska hash som skickas till bankens signeringstjänst. Femte gången kommer först när du begär uttag. Där kräver de flesta operatörer en förnyad BankID-signering för att verifiera att det är samma person som gjorde insättningen, en åtgärd som inte krävs av spellagen men som PSP-avtalen i praktiken tvingar fram.
Vad BankID egentligen bevisar – och varför ”utan BankID” är en spöklegend
På forum dyker frågan upp cirka en gång i månaden: går det att betta i Sverige utan BankID? Rent teoretiskt, i marginalen: ja. Det finns operatörer som stödjer manuell KYC med kopia på pass och adressbevis, och det finns banker som fortfarande accepterar direktinloggning med säkerhetsdosa. Rent praktiskt, på svensk-licensierad marknad efter omregleringen 2019: nej. Getswish AB:s privatkundsflöde förutsätter BankID, och utan Swish tappar operatören merparten av sin inhemska betalvolym.
Skalan gör att kostnaden att bygga och underhålla en parallell icke-BankID-kassa inte lönar sig. Enligt fackmediet Ehandel.se gjorde varje svensk under 2024 i genomsnitt 130 Swish-betalningar till ett totalt värde av cirka 67 000 kronor per person. På vår marknad är en kassa utan BankID en kassa som ignorerar nio av tio kunder.
Det BankID faktiskt bevisar i signeringsögonblicket är två saker. Först: identitet med hög tillitsnivå enligt EU:s eIDAS-förordning, i praktiken den högsta som svenskt regelverk erkänner för konsumenttjänster. Sen: samtycke till exakt det som står i signeringstexten – belopp, mottagare, kontonummer. Vad BankID däremot inte bevisar är att transaktionen är klok, att pengarna är rena eller att spelaren är nykter. De kontrollerna faller på operatörens omsorgsplikt enligt spellagens ramverk, som Riksdagen nyligen förstärkte via proposition 2025/26:11 om ett nytt förbud mot spel på kredit, i kraft 1 april 2026. Rättsligt är signaturen tung; ansvaret för att flödet är sunt ligger fortfarande i operatörens händer.
Kryptografin under huven, för dig som vill veta lite mer
Jag brukar likna BankID vid ett elektroniskt sigill snarare än en nyckel. När du installerade mobilt BankID första gången skapade appen ett nyckelpar med PKI-teknik: en privat nyckel som aldrig lämnar telefonens säkerhetsmodul, och en publik nyckel som skickas till Finansiell ID-Teknik BID AB och kopplas till ditt personnummer via din bank. Varje signering är en kryptografisk hash av signeringstexten som krypteras med den privata nyckeln på enheten.
Praktiskt betyder det tre saker. För det första kan ingen förfalska en signatur utan fysisk tillgång till just din telefon och din personliga kod. För det andra går det inte att i efterhand ändra beloppet på en Swish-transaktion utan att signaturen slutar valideras. För det tredje – och detta är den vanligaste källan till förvirring – räknas ett BankID på en annan enhet som en helt separat identitet med egen nyckel, även om den är kopplad till samma personnummer. Byter du telefon behöver du beställa nytt BankID via banken; den gamla nyckeln fungerar tills spärren träder in.
När pling-notisen aldrig kommer: felkoder, spärrar och när banken måste kopplas in
Om jag skulle rangordna kundtjänstärenden efter volym landar ”BankID svarade inte” i topp tre hos varje svensk-licenserad operatör jag pratat med. Ofta är felet trivialt, men det ser inte trivialt ut när Swish-timern räknat ner till fem sekunder och pling-notisen aldrig kommer. Jag brukar be spelaren gå igenom fyra kontroller i tur och ordning innan operatörens support kopplas in.
Först: klockan. Mobilt BankID kräver att telefonens tid ligger inom ett par minuter från servertid; en enhet inställd på manuell klocka som driftat ur takt ger felkoden ”verifieringsutmaning”. Andra: internetanslutning. BankID-appen behöver aktivt internet både för att ta emot utmaningen och skicka svar; en dålig 4G-signal mitt i signeringsfönstret dödar transaktionen tyst. Tredje: appversion. BankID-appen tvångsuppgraderas några gånger per år, och en förbisedd uppdatering blockerar autentiseringen tills du öppnar App Store eller Play Store.
Fjärde och vanligast: appkrasch mitt i transaktionen. Kraschar appen efter att bankens signeringstjänst tagit emot begäran men innan svaret hunnit skickas hamnar Swish-transaktionen i limbo. Operatörens system får aldrig bekräftelsen och saldot bokförs inte, men banken kan i vissa fall reservera beloppet i upp till 24 timmar. Regeln jag ger spelare är enkel: signera aldrig samma insättning två gånger inom en timme utan att först ha ringt banken och verifierat att den första reservationen är släppt. Dubbelbokförda insättningar är ovanliga men jobbiga att reda ut i efterhand.
Är BankID självt spärrat – till exempel efter för många misslyckade PIN-försök – går det inte att lösa i spelbolagets kassa. Då är banken enda vägen. De flesta svenska storbanker beställer nytt BankID direkt i sin mobilbank; några kräver ett besök på kontor för identitetskontroll. Under den tid du är utan BankID är hela din betting-relation på paus, vilket är en av få gånger jag rekommenderar att koppla ihop två separata BankID – ett på telefon och ett på surfplatta – som redundans.
Ett steg som ofta missas är kopplingen mellan BankID:s spärr och operatörens användarkonto. Spärras ditt BankID temporärt påverkar det inte ditt spelkonto i sig, men inloggning och signering blir omöjliga tills det nya BankID:t har aktiverats och hunnit propageras genom bankens system. Här är det värt att komma ihåg att BankID är själva autentiseringen; om du misstänker missbruk av kontot ska du också spärra det via operatörens supportkanal, eftersom en session som redan är inloggad kan ligga kvar en stund efter det att BankID:t spärrats. För en bredare bild av hur BankID passar ihop med de övriga betalningsvägarna på licensmarknaden – Trustly, kort och e-plånböcker – rekommenderar jag jämförelsen av betalningsmetoder hos bettingsidor, där skillnaderna mellan autentiseringsmodellerna blir tydliga.
Vanliga frågor om BankID i betting-flödet
De frågor som återkommer i min inkorg handlar oftast om enhetsval och om vad som händer när en signering avbryts under pågående insättning. Här är de två som dyker upp varje månad.
