Indsigelse mod at hæfte for op til 8.000 kr. af korttransaktion, der blev godkendt med MitID.
| Sagsnummer: | 394/2026 |
| Dato: | 30-09-2026 |
| Ankenævn: | Bo Østergaard, Jonas Thestrup Nielsen, Signe Kjørup Carlsson, Rolf Høymann Olsen og Anna Marie Schou Ringive. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for op til 8.000 kr. af korttransaktion, der blev godkendt med MitID. |
| Indklagede: | Lån & Spar Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for op til 8.000 kr. af korttransaktion, der blev godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Lån & Spar Bank, hvor hun havde en konto med et tilknyttet betalingskort -437.
Klageren har oplyst, at hun den 30. april 2026 modtog en besked via e-mail, som fremstod som en legitim henvendelse (angiveligt fra Silvan). Hun klikkede på et link i beskeden, som hun efterfølgende vurderede kan have været en del af et phishingforsøg.
Den 1. maj 2026 blev der gennemført en kortbetaling på 8.595 kr. med klagerens betalingskort til en udenlandsk betalingsmodtager A, som klageren ikke kan vedkende sig.
Banken har fremlagt en e-mail fra Nets med oplysninger om betalingen. Af e-mailen fremgår blandt andet:
”Please see relevant information below.
Date and time: 01.05.2026 11:41
Amount: 8595.00 DKK
Approved method: mitid.code_app (071)
IP address: […]
IP country: DK (Denmark)
Text sent to MitID app: Betal 8595,00 DKK til [betalingsmodtager A] fra kort [-437]
Enrollment information: […]”
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation med klagerens MitID. Af teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen fremgår:
”Betal 8595,00 DKK til [betalingsmodtager A] fra kort [-437]”
Klageren gjorde indsigelse mod betalingen ved en tro- og loveerklæring. Af denne fremgår blandt andet:
”Beskriv hvad der er sket:
Dette beløb er blevet trukket uden min tilladelse - jeg har ikke godkendt dette beløb (heller ikke med 2-faktorudgodkendelse), og det er sandsynligvis hacking, der er fundet sted. Jeg har snakket med min bank som har sagt jeg skal lave en indsigelse og har sørget for at få udskiftet kort og ændret brugernavn på mitID for en sikkerheds skyld
…
Her har du mulighed for at give yderligere oplysninger til din indsigelse eller give oplysninger, hvis du ønsker at gøre indsigelse i mod transaktioner, som du ikke kunne vælge før
Jeg ønsker at gøre indsigelse mod den transaktion jeg ikke har godkendt selv. Jeg har kontaktet virksomhedens kundeservice for at gøre opmærksom på at dette er sket (se side 1 og 2 i vedhæftet PDF).
På virksomhedens hjemmeside på min kvitteringsoversigtside kan man også se, at jeg ikke har købt noget derfra på dette beløb (kun at jeg har købt en støvsuger til 84,95€ tilbage i 2024) (se side 3 i vedhæftet PDF).
Forretningens navn: [betalingsmodtager A]
Transaktionsdato: 30/04/2026 (kort brugt) - bogført d. 05/05/2026
Beløb: 8595 kr.”
Klageren anmeldte ligeledes sagen til politiet.
Den 11. maj 2026 godtgjorde banken klagerens tab med fradrag af 8.000 kr., hvorfor den tilbageførte 595 kr. til klagerens konto.
Klageren gjorde indsigelse mod bankens afgørelse, og banken fastholdt afgørelsen.
Den 29. maj 2026 indbragte klageren sagen for Ankenævnet. I klagen anførte klageren blandt andet:
”Transaktionen blev godkendt med MitID, men det var ikke mig, der bevidst godkendte købet eller ønskede at gennemføre betalingen. Jeg blev forud for hændelsen udsat for phishing/svindel, hvilket jeg først senere blev klar over.”
Klageren har under sagens forberedelse i Ankenævnet oplyst, at hun har rettet henvendelse til betalingsmodtager A, der har identificeret en ordre i forbindelse med transaktionen og behandlet sagen som svindel. Efterfølgende er det lykkedes betalingsmodtager A at stoppe en forsendelse, og betalingsmodtager A har tilbageført 3.165 kr. til hendes betalingskort. Hendes tab er derfor reduceret til 4.835 kr.
Parternes påstande
Klageren har nedlagt påstand om, at Lån & Spar Bank skal tilbageføre 4.835 kr. til hende.
Lån & Spar Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun ikke bestrider, at transaktionen teknisk er registreret som godkendt med MitID. Hun bestrider derimod, at hun bevidst har godkendt en betaling til betalingsmodtager A eller ønsket at gennemføre et køb hos virksomheden.
Hun reagerede hurtigt efter at have opdaget transaktionen ved blandt andet at spærre sit kort, ændre MitID-oplysninger, kontakte banken, anmelde sagen til politiet samt kontakte betalingsmodtager A. Det er lykkedes betalingsmodtager A at stoppe én af forsendelserne vedrørende den ordre, som virksomheden har identificeret i forbindelse med svindlen, og betalingsmodtager A har tilbageført ca. 3.165 kr. til hendes betalingskort.
Banken har vurderet, at hun hæfter med op til 8.000 kr. efter betalingslovens § 100, stk. 4, med henvisning til, at transaktionen er godkendt med MitID. Banken henviser til tekniske registreringer fra Nets vedrørende godkendelsen, som hun ikke kan genkende eller vedkende sig.
Hun er uenig i bankens vurdering og mener ikke, at banken i tilstrækkelig grad har godtgjort, at hun har handlet groft uforsvarligt. Bankens redegørelse dokumenterer ikke, at hun har handlet groft uforsvarligt efter betalingslovens § 100, stk. 4.
Lån & Spar Bank har til støtte for frifindelsespåstanden anført, at klageren ved groft uforsvarlig adfærd har muliggjort den omtvistede transaktion.
Klageren har ikke bestridt, at den omtvistede betaling blev godkendt med hendes MitID men anfører alene, at hun ikke bevidst ønskede at gennemføre købet.
Klagerens adfærd udgør samlet set groft uforsvarlig adfærd, da klageren fulgte et link i en phishingmail, og da klageren afgav og oplyste sine kortoplysninger i forbindelse med forløbet og herefter godkendte betalingen med MitID.
Klageren blev præsenteret for både beløb og beløbsmodtager i sin MitID-app og godkendte.
Betingelserne for hæftelse efter betalingslovens § 100, stk. 4, er derfor opfyldt, og banken har derfor med rette alene godtgjort beløbet ud over selvrisikoen.
Transaktionen var korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl.
Ankenævnets praksis understøtter, at der i sager om phishing og manipulation fortsat kan statueres groft uforsvarlig adfærd, når kunden godkender en betaling med MitID. I afgørelse 497/2025 fandt Ankenævnet, at en kunde, der var blevet udsat for phishing via en troværdig e-mail og hjemmeside, og som i den forbindelse godkendte en betaling med MitID, havde handlet groft uforsvarligt. Tilsvarende i afgørelse 134/2024, hvor Ankenævnet fandt, at kunden burde have reageret på teksten i MitID-appen med oplysninger om beløb og betalingsmodtager.
Det forhold, at klageren efterfølgende kontaktede betalingsmodtager A, og at forretningen behandlede ordren som potentiel svindel, ændrer ikke ved vurderingen af hæftelsen efter betalingsloven.
Klageren har desuden oplyst, at betalingsmodtager A efterfølgende har tilbageført 3.165 kr. til det anvendte betalingskort. Denne efterfølgende refundering ændrer heller ikke vurderingen af, om betingelserne for hæftelse efter betalingslovens § 100 var opfyldt på tidspunktet for transaktionens gennemførelse. Refunderingen må alene anses for en efterfølgende disposition fra betalingsmodtager A’s side og har ingen betydning for vurderingen af, om klageren ved groft uforsvarlig adfærd muliggjorde den uberettigede anvendelse af betalingsinstrumentet.
Banken har til støtte for afvisningspåstanden anført, at sagen forudsætter en egentlig bevisførelse, som ikke kan gennemføres for Ankenævnet, men alene ved domstolene. En afklaring vil kræve parts- og vidneforklaringer samt teknisk bevisførelse, som ligger uden for Ankenævnets kompetence.
Ankenævnets bemærkninger
Klageren var kunde i Lån & Spar Bank, hvor hun havde en konto med et tilknyttet betalingskort -437.
Klageren har oplyst, at hun den 30. april 2026 modtog en besked via e-mail, som fremstod som en legitim henvendelse (angiveligt fra Silvan). Hun klikkede på et link i beskeden, som hun efterfølgende vurderede kan have været en del af et phishingforsøg.
Den 1. maj 2026 blev der gennemført en kortbetaling på 8.595 kr. med klagerens betalingskort til en udenlandsk betalingsmodtager A, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation med klagerens MitID, og at klageren inden sin godkendelse blev præsenteret for følgende godkendelsestekst: ”Betal 8595,00 DKK til [betalingsmodtager A] til [betalingsmodtager A] fra kort [-437]”
Klageren har anført, at hun ikke bestrider, at transaktionen teknisk er registreret som godkendt med MitID. Hun bestrider derimod, at hun bevidst har godkendt en betaling til betalingsmodtager A eller ønsket at gennemføre et køb hos virksomheden.
Klageren gjorde indsigelse mod betalingen. Banken godtgjorde klagerens tab med fradrag af 8.000 kr. Klageren har efterfølgende fået tilbageført 3.165 kr. fra betalingsmodtager A, hvorfor klagerens tab udgør 4.835 kr.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Bo Østergaard, Jonas Thestrup Nielsen og Signe Kjørup Carlsson – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have godkendt betalingen på 8.595 kr. med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbet på 8.595 kr. og betalingsmodtager A, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Rolf Høymann Olsen og Anna Marie Schou Ringive – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionen.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 kr. af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 4.460 kr. til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.