Afgørelse

Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.

Sagsnummer:	630/2026
Dato:	30-10-2026
Ankenævn:	Bo Østergaard, Bjarne Levinsky Svejstrup, Majken Christoffersen, Morten Bruun Pedersen og Elizabeth Bonde.
Klageemne:	Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Ledetekst:	Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.
Indklagede:	Ringkjøbing Landbobank
Øvrige oplysninger:
Senere dom:
	Pengeinstitutter

Indledning

Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.

Sagens omstændigheder

Klageren var kunde i Ringkjøbing Landbobank, hvor han havde et betalingskort nr. – 6643.

Den 11. juli 2026 kl. 09:29 blev der foretaget en betaling på 1.701 EUR svarende til 12.844,07 DKK med klagerens betalingskort nr. -6643 til en betalingsmodtager, B, som klageren ikke kan vedkende sig.

Klageren har oplyst, at han var blevet udsat for phishing. Han indtastede sit MitID-bruger-id på en falsk hjemmeside i den tro, at der var tale om en legitim betaling af et toldbeløb på 3 EUR til PostNord. Da han åbnede sin MitID-app, opdagede han, at appen bad om godkendelse af et ukendt beløb på 1.701 EUR til betalingsmodtager B. Han afbrød straks handlingen og lukkede MitID-appen. Han swipede ikke og godkendte ikke transaktionen på 1.701 EUR på anden måde.

Banken har oplyst, at betalingen på 1.701 EUR blev foretaget ved godkendelse i klagerens MitID-app nr. -4467.

Banken har fremlagt MitID-log, hvoraf fremgår, at klagerens MitID-app nr. -4467 blev aktiveret den 27. december 2024, og at der den 11. juli 2026 kl. 09:29 skete autentificering ("App - autentificering lykkes") fra MitID-app nr. -4467. Endvidere fremgår en IP-adresse [-175] ud for punktet ”FAL / Klient IP/port” og en Macintosh-computer ud for punktet ”Brugeragent”. Klageren har anført, at det ikke er hans IP-adresse, og at han ikke ejer en Macintosh-computer.

Banken har fremlagt transaktionsdetaljer fra Nets af teksten, der blev sendt til MitID-app i forbindelse med godkendelse af betalingen. Af teksten fremgår:

”Betal 1701,00 EUR til [B] fra kort xx6643”

Af transaktionsdetaljerne fra Nets fremgår endvidere, at transaktionen blev godkendt i MitID-app og med sikkerhedsløsningen 3D Secure (3DS).

Banken har oplyst, at transaktionen var korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl.

Klageren indgav indsigelse til banken vedrørende transaktionen og anførte blandt andet:

” Jeg købte en vare på en side som jeg troede var dansk men røg i med svindlere, da jeg skulle swipe toldebeløbet på 3 euro til postnord så jeg at beløbet var 1701 euro og undlod at swipe. Jeg spærrede kortet og kontaktede Nets, med det var for sent beløbet var reserveret. ...

... det er kun mig, der har haft adgang til mit kort ...

Jeg har ikke foretaget dette køb.

Er du på noget tidspunkt blevet kontaktet og bedt om at bekræfte/oplyse dit betalingskort eller dine personlige oplysninger? ...

Nej, jeg er ikke blevet kontaktet”

Banken dækkede klagerens tab med fradrag af 8.000 DKK.

Klageren klagede over bankens afgørelse og anførte blandt andet den 12. august 2026:

”Man har lagt vægt på at jeg godkendte med Mit-ID. Jeg ønsker at gøre det klart at da jeg så beløbet var ændret til 1701 euro undlod jeg at swipe og lukkede straks siden ned, spærrede mit kort og kontaktede Nets. Så derfor forstår jeg ikke at jeg har handlet groft uforsvarligt.

Jeg forsøgte i god tro at gennemføre et køb på en hjemmeside. Under betalingsforløbet blev jeg bedt om at godkende et beløb på 1701 euro. Da jeg blev mistænksom på beløbet valgte jeg ikke at godkende betalingen.

Jeg har ikke ønsket at godkende eller gennemføre den betaling, som efterfølgende blev hævet på min konto. Men afbrød, spærrede og kontaktede Nets.”

Banken fastholdt sin afgørelse.

Parternes påstande

Den 31. august 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Ringkjøbing Landbobank godtgøre ham det fulde tab på 1.701 EUR uden selvrisiko, subsidiært at selvrisikoen maksimalt fastsættes til 375 DKK.

Ringkjøbing Landbobank har nedlagt påstand om frifindelse, subsidiært afvisning.

Parternes argumenter

Klageren har blandt andet anført, at han blev udsat for phishing. Han indtastede sit MitID-bruger-id på en falsk hjemmeside i den tro, at der var tale om en legitim betaling af et toldbeløb på 3 EUR til PostNord. Da han efterfølgende åbnede sin MitID-app, opdagede han, at appen bad om godkendelse af et helt uforudset og ukendt beløb på 1.701,00 EUR til betalingsmodtager B. Han reagerede resolut og med fornøden agtpågivenhed ved straks at afbryde handlingen og lukke MitID-appen. Han har således ikke swipet eller på anden måde godkendt eller givet samtykke til den pågældende MitID-anmodning og specifikke transaktion på 1.701 EUR.

Han har ikke handlet groft uagtsomt. Han afbrød aktivt handlingen i MitID-appen ved synet af det uventede beløb.

Transaktionen er uautoriseret, og banken bærer som udgangspunkt risikoen og tabet.

Han anmodede banken om at dokumentere det påståede fysiske swipe samt fremsende det fulde loggrundlag. Bankens egne logfiler beviser udefrakommende misbrug. Logfilerne dokumenterer, at transaktionen blev initieret og eksekveret af en uautoriseret tredjepart, og at en udefrakommende aktør har kontrolleret og misbrugt sessionen:

Loggen viser, at anmodningen (FAL/Klient IP) kom fra IP-adressen [-175], som er lokaliseret i Spanien. Han befinder sig i Vestjylland og har ikke forladt Danmark. Loggen specificerer, at transaktionen blev styret fra en "Macintosh" (Mac-computer) via en Chrome/Safari-browser. Han ejer ikke en Mac-computer og har intet kendskab til den pågældende enhed.

Det er således teknisk dokumenteret via bankens egne data, at svindlerne har opsnappet hans bruger-id og eksekveret transaktionen fra Spanien på deres egen computer (en Mac). At loggen viser "App-autentificering lykkedes" ændrer ikke på, at han lukkede appen på sin egen telefon, og at svindlerne efterfølgende har formået at udnytte eller tvinge sessionen igennem via deres eksterne enhed i udlandet. Banken har dermed selv leveret beviset for, at der er tale om et uautoriseret ”Man-in-the-Middle-angreb”, og ikke en fysisk brugerhandling foretaget af ham.

Han har på intet tidspunkt modtaget, genereret eller udleveret SMS-koder, engangskoder eller andre supplerende sikkerhedsoplysninger til tredjepart. Da han netop standsede processen, da det uretmæssige beløb kom frem, har han udvist almindelig agtpågivenhed. Det er ikke grov uagtsomhed at afbryde en handling for at beskytte sine midler. Banken har ikke løftet sin bevisbyrde for grov uagtsomhed.

Ringkjøbing Landbobank har til støtte for frifindelsespåstanden anført, at et MitID-identifikationsmiddel kun kan være installeret på én enhed, ligesom der i godkendelsesproceduren skal foretages en fysisk brugerhandling på den enhed, som godkendelsesanmodningen er sendt til, enten ved en swipe-bevægelse eller ved at holde fingeren nede på godkendelsesknappen. En fysisk brugerhandling kan ikke fjerngennemføres.

Den 11. juli 2026 kl. 09:29 blev der anvendt stærk kundeautentifikation ved brug af et eksisterende MitlD-app nr. -4467 i forbindelse med godkendelse af den transaktion, som klageren har gjort indsigelse imod, jf. at det fremgår af den fremlagte MitID-log, at "App - autentificeringen lykkedes" den 11. juli 2026, kl. 09:29.

Da godkendelsesanmodningen vedrørende transaktionen blev sendt til en enhed, hvor klagerens MitlD-app nr. -4467 var installeret, kan det kun være klageren selv, der foretog en fysisk brugerhandling i forbindelse med godkendelsen af transaktionen.

Inden godkendelsen af transaktionen fremgik følgende besked i MitlD-app'en "Betal 1701,00 EUR til [B] fra kort xx6643".

Det kan således ud fra oplysningerne i klagerens MitlD-log konstateres, at der skete en godkendelse med klagerens MitlD i forbindelse med den transaktion, som klageren har gjort indsigelse imod.

Klagerens henvisning til FAL/Klient-IP/port og brugeragent dokumenterer ikke, at MitlD-godkendelsen blev foretaget af en uvedkommende tredjemand. Oplysningerne beskriver alene MitlD-handlingens oprindelse og de tekniske informationer, som MitlD har registreret om den enhed, hvorfra MittD-anmodningen blev initieret, herunder den anvendte IP-adresse samt browser og operativsystem. Oplysningerne siger derimod ikke noget om, hvem der foretog den konkrete godkendelseshandling eller fra hvilken enhed godkendelsen er sket fra. Det fremgår derimod af logoplysningerne, at der den 11. juli 2026 kl. 09:29:36 blev registreret hændelsen "App - autentificering lykkes" ved anvendelse af klagerens MitlD-identifikationsmiddel -4467. Logoplysningerne understøtter, at godkendelsen blev gennemført på klagerens MitlD-enhed, hvor den nødvendige godkendelseshandling blev foretaget med klagerens MitlD-identifikationsmiddel. Oplysningerne om FAL/Klient-lP og brugeragent ændrer ikke herved.

Sammenfattende er det bankens vurdering, at klageren ved godkendelsen af transaktionen udviste en groft uforsvarlig adfærd, som medførte, at den omtvistede transaktion blev gennemført, hvorfor klageren selv hæfter med en selvrisiko på 8.000 DKK, jf. betalingslovens § 100, stk. 4, nr. 3.

Ringkjøbing Landbobank har til støtte for afvisningspåstanden anført, at behandlingen af klagen forudsætter yderligere bevisførelse i form af parts- og vidneafhøringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene, hvorfor sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.

Ankenævnets bemærkninger

Klageren var kunde i Ringkjøbing Landbobank, hvor han havde et betalingskort nr. – 6643.

Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitlD-app nr. -4467, som var aktiveret den 27. december 2024, og at klageren inden sin godkendelse blev præsenteret for følgende godkendelsestekst "Betal 1701,00 EUR til [B] fra kort xx6643".

Klageren har anført, at han var blevet udsat for phishing. Han indtastede sit MitID-bruger-id på en falsk hjemmeside i den tro, at der var tale om en legitim betaling af et toldbeløb på 3 EUR til PostNord. Da han åbnede sin MitID-app, opdagede han, at appen bad om godkendelse af et ukendt beløb på 1.701,00 EUR til betalingsmodtager B. Han afbrød straks handlingen og lukkede MitID-appen. Han swipede ikke og godkendte ikke transaktionen på 1.701 EUR på anden måde.

Banken har dækket klagerens tab med fradrag af 8.000 DKK.

Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.

Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.

Ankenævnet finder, at klagerens MitID er en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.

Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5 (§ 100, stk. 4, nr. 2), eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse (§ 100, stk. 4, nr. 3).

Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 DKK af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.

Ankenævnets afgørelse

Ankenævnet kan ikke behandle klagen.

Klageren får klagegebyret tilbage.

Kontakt

Indsigelse mod at hæfte for 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.