1.De två alternativ som har varit vanligast förekommande vid tvist om krediter upptagna med hjälp av obehörig användning av elektronisk identifikation är de som kan karakteriseras som avtalsspåret respektive skadeståndsspåret.s. 238
2.Avtalsspåret innebär att kunden, trots att det alltså inte är denna själv som har slutit avtalet eller använt sitt bank-id, anses bunden av avtalet och därför är skyldig att betala tillbaka beloppet på avtalsrättslig grund. Det andra spåret, skadeståndsspåret, bygger på utgångspunkten att kunden inte är avtalsrättsligt bunden av kreditavtalet, men att kunden, som genom vårdslöshet har möjliggjort för den obehöriga användningen av sitt bank-id, blir skyldig att ersätta bankens förlust när bedragaren inte återbetalar lånet.s. 238
3.Eftersom man i Norge inte har en motsvarande regel som den i 2 kap. 2 § skadeståndslagen (att ren förmögenhetsskada ersätts endast vid brott) räcker det som huvudregel att identifiera culpa hos kunden som ansvarsgrund. I svenska underinstanser framträder däremot, kanske på grund av just den skadeståndsrättsliga regeln om ren förmögenhetsskada, ett annat och minst sagt lite förvånande alternativ, nämligen att ålägga kunden återbetalningsskyldighet med stöd av läran om condictio indebiti.s. 238
4.Både det avtalsrättsliga och det skadeståndsrättsliga spåret kan givetvis vara relevanta och aktuella alternativ. Trots att dessa fall handlar om en obehörig användning av ett bank-id som får anses jämförbar med en underskriftsförfalskning och därför som huvudregel inte kan binda den person som utsatts för förfalskningen, måste domstolen fatta sitt beslut efter en bedömning av den bevisning om de relevanta sakomständigheterna som finns.s. 238
5.Som framgår av NJA 2017 s. 1105, som får anses vara intressant också för norsk rätt, har kreditgivaren bevisbördan för att ett kreditavtal har slutits genom användning av en kunds bank-id. Om kreditgivaren kan styrka att så har skett, är det kunden som måste göra antagligt att det inte är kunden själv, utan någon annan, som har slutit kreditavtalet. Kan kunden inte göra det antagligt att det är någon annan som använt dennas bank-id, kommer den bli ansedd som låntagare och gäldenär enligt kreditavtalet, och därmed bunden på avtalsrättslig grund.s. 239
6.Kan kunden däremot göra antagligt att det inte är den själv som har använt bank-id:et för att ingå kreditavtalet, och att det heller inte föreligger en sådan situation att kunden anses ha accepterat eller gett fullmakt till någon annan att ingå kreditavtalet i kundens namn, då föreligger inget bindande avtal mellan kreditgivaren och kunden.s. 239
7.På den här punkten tycks dansk rätt ha tagit en annan väg än norsk och svensk rätt genom att man i Danmark lättare tycks acceptera avtalsrättslig bundenhet till följd av att en innehavare av ett så kallad NemID, vilket motsvarar bank-id, antingen medvetet har lämnat behörighetsfunktionerna till en tredje man, eller att tredje man på grund av innehavarens grova oaktsamhet obehörigen har kunnat använda id:et.s. 239
8.Att kunden inte ansvarar för lånets återbetalning enligt avtalsrättsliga regler är emellertid inte detsamma som att kunden helt undgår ett betalningsansvar. Eftersom bank-id och motsvarande lösningar för kundautentisering är strikt personliga, är utgångspunkten att de inte ska kunna användas av någon obehörig tredje man. Det som kännetecknar stark kundautentisering är trots allt att man kombinerar olika moment som endast innehavaren ska ha kännedom om, och som kunden enligt både lag och avtal förväntas skydda. Har så ändå skett, måste det alltså utredas huruvida den obehöriga användningen har möjliggjorts genom kundens vårdslöshet med att förvara och hålla hemlig informationen och de tekniska hjälpmedel som ingår i legitimeringsprocessen. Föreligger skadeståndsgrundande culpa, kommer kunden enligt norska skadeståndsrättsliga principer, som till största delen inte är kodifierade, att bli skadeståndsansvarig gentemot kreditgivaren för dennas förluster enligt kreditavtalet.s. 239