Afgørelse

Indsigelse mod at hæfte for kortbetalinger, der blev gennemført som 3D Secure betalinger ved godkendelse med MitID.

Sagsnummer:	32/2026
Dato:	14-08-2026
Ankenævn:	Kristian Korfits Nielsen, Jonas Thestrup Nielsen, Sig-ne Kjørup Carlsson, Rolf Høymann Olsen og Poul Erik Jensen.
Klageemne:	Afvisning - bevis § 5, stk. 3, nr. 4 Betalingstjenester - ikke-vedkendte hævninger
Ledetekst:	Indsigelse mod at hæfte for kortbetalinger, der blev gennemført som 3D Secure betalinger ved godkendelse med MitID.
Indklagede:	Lunar Bank A/S
Øvrige oplysninger:
Senere dom:
	Pengeinstitutter

Indledning

Sagen vedrører indsigelse mod at hæfte for kortbetalinger, der blev gennemført som 3D Secure betalinger ved godkendelse med MitID.

Sagens omstændigheder

Klageren var kunde i Lunar Bank, hvor han havde en konto -582 med et tilknyttet betalingskort -553.

Den 27. april 2025 blev der foretaget to kortbetalinger til betalingsmodtager, B, med klagerens betalingskort -553 på henholdsvis 628,68 USD og 35 USD svarende til i alt 4.421,99 DKK, som klageren ikke kan vedkende sig.

Klageren har oplyst, at han ikke gennemførte eller godkendte transaktionerne, og at han lå og sov på tidspunktet for deres gennemførelse. Han formoder, at hans mobiltelefon må være blevet hacket.

Banken har oplyst, at kortbetalingerne blev godkendt via 3D Secure gennem MitID på en Android-enhed, som var den eneste enhed, der havde tilgået klagerens konto via Lunar Bank-appen.

Banken har fremlagt klagerens loginhistorik for Lunar Bank-appen og har oplyst, at det fremgår heraf, at klagerens Android-enhed tilgik Lunar Bank-appen samtidig med, at der blev godkendt via 3D Secure. Der blev logget ind i klagerens Lunar Bank-app fra klagerens enhed kl. 02:34, og kortbetalingerne til B blev godkendt via 3D Secure henholdsvis kl. 02:39 og kl. 02:49. Da de i loginhistorikken angivne tidsstempler fremgår i tidszonen UTC, og da hændelsen fandt sted under dansk sommertid (UTC+2), skal der lægges to timer til de anførte tidspunkter i loginhistorikken.

Banken har ikke fremlagt den tekst, der blev vist i klagerens MitID i forbindelse med godkendelse af transaktionerne.

Banken har oplyst, at transaktionerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl.

Den 29. april 2025 gjorde klageren indsigelse til banken mod transaktionerne.

Samme dag skrev banken til klageren og bad ham sende en udfyldt tro- og loveerklæring, en anmeldelseskvittering fra politiet samt besvare en række spørgsmål.

Klageren besvarede ikke bankens forespørgsel.

Den 7. maj 2025 skrev banken til klageren, at banken ikke kunne behandle hans indsigelse, da han ikke havde sendt den efterspurgte dokumentation, og den 12. maj 2025 sendte klageren et screenshot for kvittering for politianmeldelse, men ikke selve anmeldelseskvitteringen.

Den 21. maj 2025 skrev banken til klageren, at banken endnu ikke havde modtaget en tro- og loveerklæring, hvortil klageren svarede, at han havde sendt både tro- og loveerklæring og sin anmeldelseskvittering til politiet.

Den 18. juni 2025 skrev banken til klageren, at bankens undersøgelser havde vist, at transaktionerne var godkendt fra klagerens egen enhed (en Android mobiltelefon). Banken spurgte klageren, om han selv havde godkendt betalingerne ved en fejl, eller om andre havde haft adgang til hans mobiltelefon.

Klageren besvarede ikke bankens forespørgsel.

Den 26. juni 2025 skrev banken til klageren, at banken ikke kunne behandle hans indsigelse, da han ikke havde sendt den efterspurgte dokumentation.

I den følgende periode korresponderede klageren og banken om klagerens indsendelse af dokumentation. Banken fastholdt, at klageren skulle forholde sig til, at transaktionerne var godkendt fra hans egen mobiltelefon og svare på, om andre havde haft adgang til telefonen. Klageren svarede, at han ikke selv godkendte transaktionerne.

Den 7. juli 2025 bad banken igen klageren svare på, om andre havde haft adgang til hans mobiltelefon.

Banken har oplyst, at den ikke fik svar fra klageren. Klageren har oplyst, at han var i kontakt med en ansat i banken, og at han sendte alt til vedkommende.

Den 20. og 27. september 2025 rykkede klageren banken for en status på sin kortindsigelse, og den 7. oktober 2025 svarede banken, at den havde lukket sagen, da klageren ikke havde besvaret bankens spørgsmål af 7. juli 2025.

I den følgende periode korresponderede klageren og banken om klagerens indsigelse. Klageren fastholdt sin indsigelse, og den 13. oktober 2025 bad banken klageren sende en udfyldt tro- og loveerklæring, en anmeldelseskvittering fra politiet samt besvare en række spørgsmål inden den 20. oktober 2025. Klageren henviste til korrespondancen fra juni og juli 2025, og banken svarede, at den ikke havde modtaget svar på spørgsmål, den havde stillet i juli 2025. Klageren fastholdt, at han havde sendt alt relevant til banken.

Den 22. oktober 2025 gentog banken spørgsmålet om, hvorvidt andre kunne have haft adgang til klagerens mobiltelefon. Klageren svarede samme dag, at der ikke var andre, der havde haft adgang til hans mobiltelefon.

Den 24. november 2025 afviste banken klagerens indsigelse med henvisning til, at der ikke var andre, der havde været logget ind på hans konto, end hans egen mobiltelefon, og at transaktionerne blev godkendt fra hans mobiltelefon.

Den 16. december 2025 klagede klageren over bankens afvisning af hans indsigelse, og den 19. december 2025 fastholdt banken sin afvisning.

Parternes påstande

Den 19. januar 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Lunar Bank A/S skal tilbageføre det svindlede beløb til ham.

Lunar Bank A/S har nedlagt påstand om frifindelse, subsidiært afvisning.

Parternes argumenter

Klageren har blandt andet anført, at han ikke selv foretog eller godkendte transaktionerne, og at transaktionerne er uautoriserede, jf. betalingslovens § 100.

Hans telefon blev hacket, hvorved transaktionerne blev foretaget. Da han opdagede transaktionerne på sin konto, reagerede han rettidigt og indgav straks indsigelse til banken.

Bankens afgørelse hviler på en urigtig retlig vurdering og en utilstrækkelig bevisførelse.

Det forhold, at en transaktion teknisk er gennemført fra hans enhed, udgør ikke i sig selv dokumentation for, at transaktionerne er autoriserede af ham. Efter betalingslovens §§ 98 og 100 påhviler det betalingstjenesteudbyderen at godtgøre, at transaktionen er korrekt autoriseret.

Transaktionerne er ikke autoriserede, jf. betalingslovens § 82, stk. 1, da han ikke gav samtykke til gennemførelsen. Bankens centrale argument om, at transaktionerne er “autoriseret” alene fordi de blev gennemført via 3D Secure og MitID, er juridisk utilstrækkeligt og misvisende. Desuden er systemlogs ikke tilstrækkeligt bevis. Henvisningen til, at Lunar Bank-appen er tilgået fra “Klagers enhed”, er ikke bevis for autorisation. Systemdata kan alene dokumentere en teknisk session, men ikke identiteten bag handlingen. Det er netop anerkendt i betalingsretlig praksis, at logs kan være kompromitterede eller manipulerede via malware og ikke isoleret beviser viljeshandling.

Efter betalingslovens § 100, stk. 1-2, påhviler det udbyderen at bevise, at transaktionen er korrekt autoriseret og ikke ramt af fejl, svig eller kompromittering. Denne bevisbyrde er ikke løftet ved henvisning til loginhistorikken alene.

Banken sammenblander autentifikation (teknisk identifikation) og autorisation (juridisk bindende samtykke). Denne sondring er grundlæggende i PSD2-direktivet (EU 2015/2366), artikel 72–74 EBA Regulatory Technical Standards (RTS) 2018/389 om Strong Customer Authentication. Det følger direkte heraf, at stærk kundeautentifikation dokumenterer adgang, ikke samtykke. En gennemført SCA-proces udelukker ikke kompromitterede enheder, malware/session hijacking, social engineering eller tredjemands uautoriserede kontrol.

Transaktionerne blev gennemført midt om natten, hvor han lå og sov og ikke var aktiv på enheden. Han havde ikke overladt adgang til sin mobiltelefon eller MitID til nogen, og der forelå samtidig tekniske forhold (automatisk systemopdatering). Disse forhold indebærer som minimum en begrundet og reel tvivl om autorisation, og denne tvivl må komme ham til gode.

I henhold til betalingslovens § 100 hæfter betaleren ikke for uautoriserede transaktioner. Det er en betingelse for hæftelse, at betaleren har udvist groft uforsvarlig adfærd eller handlet svigagtigt.

Banken har ikke dokumenteret, at han har videregivet sikkerhedsoplysninger, at han har udvist uagtsom omgang med MitID eller anden adfærd, der kan kvalificeres som groft uforsvarlig. Der foreligger således ingen hjemmel til at pålægge ham hæftelse. Stærk kundeautentifikation er en sikkerhedsprocedure – ikke dokumentation for en bindende viljeserklæring.

Det følger af betalingslovens § 98, stk. 2, at det påhviler banken at bevise, at transaktionerne er autoriserede. Banken har ikke fremlagt dokumentation for, at han personligt har godkendt transaktionerne, men baserer alene sin afgørelse på tekniske oplysninger om enheden. Bankens argumentation indebærer i realiteten en omvendt bevisbyrde, hvor han skal bevise, at han ikke har godkendt transaktionerne. Dette er i direkte strid med betalingslovens § 98, stk. 2, fast ankenævnspraksis og grundlæggende obligationsretlige principper. Det er udbyderen, der skal bevise autorisation – ikke kunden, der skal bevise misbrug.

At der ikke er andre, som fysisk har haft adgang til hans mobiltelefon, udelukker ikke misbrug. Kompromittering kan ske via eksempelvis malware, phishing, fjernadgang eller andre sikkerhedsbrud, som ikke nødvendigvis registreres som adgang fra en anden enhed.

Han har ikke handlet forsætligt eller groft uagtsomt og har overholdt sine forpligtelser som bruger af betalingstjenesten. Banken har ikke påvist konkrete forhold, der kan begrunde en sådan kvalifikation.

Det er fast praksis fra Ankenævnet, at det forhold, at en betaling er gennemført ved korrekt anvendelse af personlig sikkerhedsforanstaltning (fx MitID), ikke i sig selv dokumenterer, at betaleren har godkendt transaktionen. Der er blandt andet en række afgørelser, hvor tekniske logs ikke anses som tilstrækkeligt bevis, hvor autorisation ikke kan udledes alene af 3D Secure/MitID, hvor tvivl om hændelsesforløbet kommer forbrugeren til gode og hvor banken alene har fremlagt tekniske registreringer (loginhistorik og enhedsdata), hvilket efter fast praksis ikke opfylder beviskravet.

Når autorisation ikke er bevist, samtykke ikke er dokumenteret, teknisk autentifikation ikke kan sidestilles med juridisk accept, da følger det direkte af betalingslovens § 100, at transaktionerne skal anses som uautoriserede med fuld tilbagebetalingspligt. Da banken ikke har løftet bevisbyrden for, at han har autoriseret de omtvistede transaktioner, må de derfor anses for uautoriserede, og banken er i medfør af betalingslovens § 100 forpligtet til at tilbageføre det fulde beløb.

Banken opfordres til at fremlægge fuld teknisk logføring inkl. autentifikationsflow, IP, device fingerprint og sikkerhedshændelser.

Lunar Bank A/S har til støtte for frifindelsespåstanden anført, at de omtvistede transaktioner er autoriserede af klageren i overensstemmelse med betalingslovens § 82, stk. 1.

Det er dokumenteret, at transaktionerne er godkendt via stærk kundeautentifikation. Bankens tekniske undersøgelse fastslår, at autorisationen er foretaget fra klagers egen Android-enhed, og at der i de relevante tidsrum ikke var andre enheder end klagerens egen logget ind på Lunar Bank-appen. Da klageren selv har redegjort for, at ingen andre har haft adgang til den pågældende telefon, må det lægges til grund, at klageren selv har autoriseret transaktionerne.

I henhold til betalingslovens § 82, stk. 1, anses en betalingstransaktion for at være autoriseret, hvis betaleren har givet samtykke til at gennemføre transaktionen. For de omtvistede transaktioner gøres det gældende, at disse er autoriserede, jf. § 82 på baggrund af følgende faktiske omstændigheder:

Transaktionerne blev godkendt via 3D Secure gennem klagerens MitID på en Android-enhed, der må antages at tilhøre klageren, da det er den eneste enhed, som har tilgået klagerens konto via Lunar Bank-appen.

Klagerens enhed tilgik Lunar Bank-appen samtidig med, at der blev godkendt via 3D Secure.

Klageren har selv redegjort for, at der ikke var andre personer, der havde haft adgang til hans mobiltelefon, hvorfor transaktionerne må anses for værende autoriseret af ham selv.

Da samtykket til transaktionerne er afgivet via en stærk kundeautentifikation (MitID), som er initieret fra en enhed, som klageren har bekræftet at have haft enebesiddelse af, må transaktionerne anses for korrekt autoriserede af klageren selv i medfør af betalingslovens § 82. Da der foreligger autorisation, finder reglerne om bankens hæftelse for uautoriserede transaktioner i betalingslovens § 100 ikke anvendelse.

Betalingstransaktionerne er korrekt registreret og bogført og er ikke ramt af tekniske svigt eller andre fejl jf. betalingslovens § 98, stk. 1.

Lunar Bank A/S har til støtte for afvisningspåstanden anført, at sagen bør afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4, idet en afgørelse af tvisten mellem klagerens forklaring og bankens tekniske beviser vil kræve en bevisførelse i form af parts- og vidneforklaringer, som ikke kan ske for Ankenævnet.

Ankenævnets bemærkninger

Klageren var kunde i Lunar Bank, hvor han havde en konto med et tilknyttet betalingskort.

Klageren har anført, at han ikke gennemførte eller godkendte transaktionerne, men at han lå og sov på tidspunktet for deres gennemførelse. Hans mobiltelefon må være blevet hacket.

Banken har oplyst, at kortbetalingerne blev godkendt via 3D Secure gennem MitID på en Android-enhed, som er den eneste enhed, der har tilgået klagerens konto via Lunar Bank-appen.

Ankenævnet lægger til grund, at betalingstransaktionerne er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionerne, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.

Afgørelsen af sagen beror på, om der må antages at være tale om tredjemandsmisbrug. Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger tredjemandsmisbrug, og at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3 nr. 4.

Ankenævnets afgørelse

Ankenævnet kan ikke behandle klagen.

Klageren får klagegebyret tilbage.

Kontakt

Indsigelse mod at hæfte for kortbetalinger, der blev gennemført som 3D Secure betalinger ved godkendelse med MitID.