Leder: MitID må tilbage på tegnebrættet

Danmark er flere gange udråbt til verdens­mester i offentlig digitalisering, men det er mere end almindeligt svært at mærke førertrøjen lige nu. Digitaliseringsstyrelsens milliarddyre MitID-projekt er således ved at udvikle sig til en mindre it-katastrofe og et skoleeksempel på digitalisering med hovedet under armen. Udrulningen af afløseren for det NemID-system, danskerne efterhånden endelig har vænnet sig til og er glade for, er dybt kritisabel, og problemer af både teknisk og designmæssig karakter hober sig op.

For det første har Digitaliseringsstyrelsen, Nets og bankerne skabt en løsning, som det for mange danskere er en nærmest uoverstigelig opgave at blive tilkoblet. Et krav om at scanne sit pas for at aktivere MitID-appen betyder eksempelvis, at en moderne smartphone til tusindvis af kroner i praksis bliver adgangsbilletten til den næste generation af moderne signatur.

Det har vist sig at være et adgangskrav, som mange danskere enten ikke ønsker eller ikke kan leve op til, og det eneste ­alternativ for dem er en tur på borgerservice for at blive godkendt manuelt. Det er ikke i sig selv en dårlig ting at skulle betjenes af et rigtigt menneske – måske tværtimod. Men Digitali­seringsstyrelsen har tydeligvis fuldstændig fejlvurderet, hvor mange borgere der ikke kan leve op til MitID’s tekniske krav og derfor skal have hjælp. Det har udløst et decideret stormløb på borgerservice, og på tværs af landet er der i gennemsnit næsten to ugers ventetid på at få hjælp til MitID, som hundredtusinder af danskere stadig mangler at få adgang til. Samtidig rykker deadline for at koble sig på systemet nærmere, og 31. oktober klapper fælden.

Den tilsyneladende fuldstændig uigennemtænkte proces sætter borgerne i en ubehagelig og unødvendig situation. Det er umyndiggørende og uværdigt for den enkelte, når en i praksis obligatorisk it-løsning er så kompliceret at bruge, at så mange skal have  så meget hjælp.

Desuden sender Digitaliseringsstyrelsen en opgave videre til kommunerne, som man tilsyneladende ikke har afstemt på forhånd. Mange kommuner er i forvejen presset på økonomien og skal spare, og når de også bliver tvunget til at løse en gigantisk support-­opgave, som de ikke har budgetteret med, tager det tid fra andre vigtige opgaver. Det er asymmetrisk gevinstrealisering, og det  holder ikke.

På det tekniske niveau har MitID også været plaget af massive problemer fra starten. Tjenesten har haft mange udfald, og som grelt eksempel kan man fremhæve det ­massive nedbrud i april, der gjorde det umuligt at bruge MitID oven i et månedsskift, hvor regningerne skal betales. Samtidig har basale tekniske brølere som udløbne SSL-certifikater betydet, at borgere bliver mødt med ­advarsler om ‘usikker forbindelse’, når de logger på MitID. Det fremmer heller ikke ligefrem den tillid, der er altafgørende for at få borgerne med på den digitalisering, vi forventer os så meget af.

Det oplagte spørgsmål er, hvad borgerne så får ud af det. Hvorfor skal vi som borgere acceptere, at den nogenlunde ­velfungerende NemID-løsning smides på porten, så vi kan bruge en lille milliard skattekroner på et alternativ, der indtil videre er utvetydigt dårligere og mere besværligt? Svaret har indtil videre været, at sikkerheden i den nye løsning er bedre, men som vi blandt andet afdækker i denne uge, er det en sandhed med gigantiske modifikationer.

Et af de primære argumenter har været, at vi med MitID kommer væk fra papkortet med koder, som kan stjæles og misbruges, og i stedet skal verificere os via den mere sikre app. Det er et glimrende argument, men man kunne fint have udfaset papkortet og brugt den allerede eksisterende – og i øvrigt velfun­gerende – app i NemID. En anden ændring, der angiveligt skulle højne sikkerheden, er, at man har fjernet kodeordet, så der i stedet bare er et brugernavn, som herefter skal verificeres i appen.

Heller ikke her giver sikkerhedsargumen­tet mening. Som eksperter påpeger over for Ingeniøren, har man i virkeligheden bare udskiftet kodeordet med et brugernavn. Da mange er opflasket med, at brugernavnet skal være nemt at huske, og kodeordet skal være kompliceret, har man i praksis bare skåret det sikre lag fra, og som Ingeniørens seneste afdækning viser, vælger mange derfor meget nemme brugernavne – altså er der reelt tale om en forringelse på sikkerhedsfronten. Derudover fortæller systemet, om et givent brugernavn er i brug eller ej, og derfor er det lettere at gætte brugernavne i titusindvis.

I stedet for at holde fast i sit budskab om, at danskerne bare skal bide tænderne sammen og finde sig i miseren i sikkerhedens navn, skulle Digitaliseringsstyrelsen hellere slå ørerne ud og lytte til eksperterne. Der er gode ting i både NemID og MitID, og de kan med fordel kombineres. Det er fornuftigt, at man har sagt farvel til CPR-nummeret som brugernavn, men så nytter det ikke, at man bare kan vælge sit navn og fødselsår. Det er fornuftigt, at man siger farvel til papkortet, men man behøver ikke opfinde den dybe tallerken. Et kompliceret brugernavn og et kompliceret kodeord, der begge skal verificeres i en app, vil være fint. Det har man i lignende løsninger andre steder.

Digitaliseringsstyrelsen søger lige nu en erfaren UX-designer til MitID, og det virker fornuftigt – bedre sent end aldrig.  Helt overordnet skal styrelsen tilbage til tegnebrættet og sørge for, at den løsning,  der er til for borgernes skyld, tager udgangspunkt i den virkelighed, borgerne lever i.

Lederen udtrykker Ingeniørens holdning, der fastlægges af vores lederkollegium