MitID på spillesider: sådan verificerer du din konto sikkert

Første gang jeg loggede ind på en dansk spilleside med MitID i stedet for NemID, glemte jeg helt at oprette en adgangskode. Det er pointen. Hele verifikationen sker uden for siden, og når du kommer tilbage, er kontoen åbnet, alderen bekræftet, og ROFUS-tjekket allerede kørt i baggrunden. Det er den korte version. Den lange handler om, hvorfor det her er det vigtigste filter, en spiller i Danmark har til rådighed, og hvorfor 91,5 % af det danske spilmarked i 2024 forblev inden for det lovlige system netop på grund af den slags identitetskontrol.

Jeg har testet MitID-flowet på samtlige licenshavere i mit årlige gennemgangsarbejde, og forskellen mellem en lovlig dansk spilleside og en udenlandsk side, der retter sig mod danskere, ligger ofte i præcis det her øjeblik: hvem beder om at se dig, og hvordan.

Find the best options for top spillesider.

Hvad er MitID, og hvorfor afløste det NemID?

Jeg snakkede for et par år siden med en bekendt, der var sikker på, at MitID bare var NemID med ny app. Det er det ikke. NemID var bygget på en java-applet og papirnøglekort fra midten af nullerne, og det var aldrig tænkt som en mobil løsning. MitID er det modsatte: født mobilt, med kryptografi i selve telefonen, og bygget til at kunne udvides med fingeraftryk og ansigtsscanning.

Den vigtige forskel for en spiller er ikke teknologien, men ansvaret. MitID er et fælles digitalt ID for offentlige og private tjenester i Danmark, drevet af MitID-samarbejdet mellem staten og bankerne. Når en spilleside slår dig op via MitID, bekræfter den ikke kun, at du eksisterer. Den bekræfter, at du er gammel nok, at dit cpr-nummer er reelt, og at du ikke står registreret i et udelukkelsesregister.

Det er præcis derfor, MitID er blevet rygraden i den danske licensmodel. Uden den ville aldersgrænsen på 18 år være et postulat. Med den er det en kontrol, der sker i sekunder, mens du logger ind.

MitID-kravet på licenserede spillesider

Lad mig være konkret. Jeg har flere gange skrevet til Spillemyndighedens kontaktpunkt for at få bekræftet detaljer om verifikationskrav, og svaret har været det samme hver gang: en spilleside med dansk licens skal verificere identiteten på spilleren, før der kan udbetales gevinster, og i praksis sker det ved første kontooprettelse.

Det betyder, at MitID ikke er en valgfri funktion. Hvis en side, der reklamerer sig som dansk, lader dig oprette konto med e-mail og adgangskode og spille uden et eneste identifikationsskridt, så har du ikke fundet en bekvem spilleside. Du har fundet en udenlandsk side uden dansk licens. Det er en del af forklaringen på, at andelen af ulovligt online-spil i Danmark er steget fra omkring 14 % til knap 30 % på få år ifølge H2 Gambling Capital. Mange spillere ved ikke, hvad de skal kigge efter.

Thomas Marcussen fra Forskningsklinikken for Ludomani har formuleret det tørt: det er lidt af et cowboymarked uden aldersverifikation, hvor forbrugerbeskyttelsen typisk er ekstremt lav. Han taler om de udenlandske sider, og MitID-fraværet er en af de tydeligste markører.

På en licenseret dansk side møder du MitID i tre situationer: ved oprettelse af kontoen, ved hvert login, og ved udvalgte transaktioner som hævning af spilkonto eller ændring af indbetalingsgrænser opad. Nogle operatører lader dig holde dig logget ind i en session og bruger MitID som start-nøgle. Andre kræver fornyet bekræftelse efter et stykke tid. Begge dele er lovlige, så længe identiteten er etableret ved oprettelsen.

Sådan ser verifikationsflowet ud trin for trin

Jeg lavede engang en lille øvelse, hvor jeg tog tid på, hvor lang en oprettelse tog på syv forskellige licenshavere. Den hurtigste var nede på 47 sekunder fra første klik til godkendt konto. Den langsomste tog over fire minutter, fordi siden ville have mig til at udfylde supplerende felter manuelt. Den hurtige variant er ikke en sjusket variant. Den er bare bedre integreret.

Det typiske flow ser sådan ud. Du klikker på “opret konto”. Siden viser et felt med en MitID-knap. Du indtaster dit MitID-bruger-ID. Et popup-vindue eller appen åbner. Du bekræfter med fingeraftryk, ansigtsscanning eller pinkode. Spillesiden modtager et signeret svar med dit cpr-nummer, fulde navn, fødselsdato og adresse fra centralt hold. Sideeffekten er, at spillesiden også får svar fra ROFUS-registret. Hvis du er udelukket, lukkes processen, og du får besked. Hvis ikke, oprettes kontoen.

Derfra ligger der typisk to-tre felter tilbage: valg af brugernavn, accept af vilkår, og en indbetalingsgrænse, som du selv skal sætte. Ingen anden side i verden vil have din indbetalingsgrænse i den første session. Det er en dansk specialitet, og den findes præcis fordi MitID-flowet har bevist din identitet, så ansvaret straks kan flyttes over på reelle valg om forbrug i stedet for at bruge tid på dokumentation.

Når MitID driller: typiske fejl og hvad du gør

Jeg har siddet med spillere, som var overbeviste om, at en spilleside havde lavet en fejl, mens problemet i virkeligheden lå i selve MitID-løsningen. Den hyppigste situation er, at appen viser “vi kan ikke logge dig ind lige nu”. Det skyldes næsten altid en af tre ting: din MitID-app er forældet og kræver opdatering, du har skiftet telefon og glemt at flytte MitID med, eller du står i en dårlig forbindelse, og signeringen falder ud, før spillesiden modtager svar.

I første tilfælde åbner du App Store eller Google Play og opdaterer. I andet tilfælde skal du genaktivere MitID via mit.dk eller med en MitID-koderviser, hvis du ikke har en aktiv aktiveringskode. Og i tredje tilfælde går du tilbage til startsiden og prøver igen, gerne på wifi.

En fjerde, sjældnere situation er, at navnet, du indtaster på spillesiden, ikke matcher det navn, MitID returnerer. Det sker oftest efter navneskift ved ægteskab eller skilsmisse. Her må du kontakte spillesidens support og bede om manuel verifikation af dokumentation. Det er ikke en MitID-fejl, men en datasynk-fejl, der løses inden for et døgn på de fleste sider.

Datasikkerhed bag MitID-flowet

Det første, jeg blev spurgt om, da en kollega hørte, jeg brugte MitID til at logge ind på spillesider, var: “Får casinoet så mit cpr-nummer?” Ja, og det er pointen. Men det er ikke en sårbarhed. Det er en kontrolleret datadeling under GDPR.

Spillesiden modtager en præcist defineret pakke data: cpr-nummer, navn, fødselsdato, adresse. Ikke din kontosaldo, ikke andre logins, ikke historik fra andre tjenester. Spillesiden er forpligtet til at gemme data efter persondatareglerne, og den må kun anvende dem til formål, der er lovligt grundlag for: identitetsbekræftelse, alderskontrol, udbetalingskontrol og indberetning til Spillemyndigheden ved relevante hændelser. Når du tilmelder dig ROFUS, gemmes oplysningen i registret, og spillesiden får et “ja” eller “nej” tilbage ved fremtidige login-forsøg. Den får ikke detaljerne i din udelukkelse.

Det er stramt. Det er også en del af forklaringen på, hvorfor MitID-flowet er det enkelte filter, der gør den mest reel forskel for en almindelig spillers sikkerhed på det danske marked.

Et lille login som første sikkerhedslag

Det her er ikke et flot lag. Det er et fundament. Men den dag du kigger på en spilleside og er i tvivl om, hvorvidt den er lovlig at bruge i Danmark, så start med spørgsmålet: vil den lade mig spille uden MitID? Svarer den ja, så ved du allerede, hvad du har fundet. Hvis du er i tvivl om, hvad du gør, når noget alligevel går galt på en licenseret side, kan du læse videre i min gennemgang af dansk kundeservice på spillesider.

Read our detailed review of Mobile spillesider: apps, browseroplevelse og kompatibilitet.

Skrevet af teamet hos "Spilkronik".