Indsigelse mod at hæfte for 8.000 kr. af korttransaktion, der blev godkendt i MitID.
| Sagsnummer: | 322/2026 |
| Dato: | 30-09-2026 |
| Ankenævn: | Bo Østergaard, Jonas Thestrup Nielsen, Signe Kjørup Carlsson, Rolf Høymann Olsen og Anna Marie Schou Ringive. |
| Klageemne: |
Afvisning - bevis § 5, stk. 3, nr. 4
Betalingstjenester - ikke-vedkendte hævninger Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 kr. af korttransaktion, der blev godkendt i MitID. |
| Indklagede: | Jyske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 kr. af korttransaktion, der blev godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Jyske Bank, hvor hun havde en konto med et tilknyttet Visa/Dankort -123.
Den 23. januar 2026 blev der gennemført en betaling på 8.442,20 kr. med klagerens betalingskort til en betalingsmodtager A, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med 3-D Secure i klagerens MitID -960, som var aktiveret på klagerens iPhone den 4. februar 2022. Banken har fremlagt en udskrift fra klagerens MitID-log og en udskrift fra Nets med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen. Af teksten fremgik:
”Betal 8442,20 DKK til [betalingsmodtager A] fra kort [-123]”
Banken har oplyst, at transaktionen var korrekt registreret og bogført, og at betalingen ikke var ramt af tekniske svigt eller andre fejl.
Den 27. januar 2026 blev der trukket 8.442,20 kr. på klagerens konto.
Ved en tro- og loveerklæring af 2. februar 2026 gjorde klageren indsigelse mod betalingen og anførte, at hun hverken havde deltaget i eller godkendt betalingen, og at transaktionen var sket uden hendes vidende. I forbindelse med en korrespondance med banken oplyste klageren endvidere blandt andet:
”Jeg opdagede problemet kl. ca. 12:00 den 27/01-2026, (dato er muligvis ved en fejl oplyst til at være 23.01.2026) da jeg skulle betale frisør med MobilePay
Jeg så da, at der var Minus på kontoen
Jeg har brugt mit kort to gange tidligere den 27/1-2026 til henholdsvis : [… og …]
Første gang jeg herefter åbner MobilePay, kunne jeg ikke starte den.
Anden gang jeg prøver at starte MobilePay, kommer der en besked med, at der er minus på kontoen, og derfor ikke kunne betale.
Jeg kontakter umiddelbart herefter Jyske Bank, og får mit kort spærret ([nr. -123])
Jeg har ikke tidligere handlet med berørte firma
Jeg har ikke modtaget SMS eller e-mail med et Link, som jeg skulle aktivere
Jeg har derfor heller ikke oplyst mit kortnummer m.m.”
Klageren anmeldte ligeledes sagen til politiet.
Den 9. februar 2026 godtgjorde banken klagerens tab med fradrag af 8.000 DKK, hvorfor den tilbageførte 442,20 kr. til klagerens konto.
Klageren gjorde indsigelse mod bankens afgørelse, og banken fastholdt afgørelsen.
Parternes påstande
Den 29. april 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Jyske Bank skal tilbageføre 8.000 kr. til hende.
Jyske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun ikke har godkendt betalingen med MitID, da hun ikke har modtaget en notifikation om betaling.
Når der foretages køb på nettet med stjålne kortinformationer (hendes fysiske kort var ikke stjålet), sendes der ikke en notifikation til kortholderen om, at denne skal åbne MitID og godkende købet. Hun kunne derfor ikke vide, at der blev foretaget et køb med hendes kortoplysninger, som skulle godkendes med MitID.
Alternativt var hendes MitID-oplysninger og hendes telefonnummer også blevet stjålet.
Hun handler sjældent på internettet og bruger MobilePay, hvor det er muligt. Hun har aldrig haft kontakt til betalingsmodtager A tidligere.
Hun har efter gennemførelsen af den omstridte betaling foretaget et kontrolkøb på betalingsmodtager A’s hjemmeside på en fremmed PC med en anden persons betalingskort. Hun tilgik hjemmesiden og valgte en vare til 349 kr. Denne betaling blev gennemført, uden at hun skulle oplyse navn på kortet og uden, at betalingen skulle godkendes med MitID. Dette bekræfter, at der kunne gennemføres køb på hjemmesiden med hendes kort uden, at betalingen skulle godkendes med MitID.
Det påhviler banken at bevise, at hun har begået en fejl. Dette har banken ikke bevist, da hun ikke har godkendt betalingen med MitID, og hjemmesiden ikke bruger to-faktor godkendelse.
Jyske Bank har til støtte for frifindelsespåstanden anført, at klagen skal afgøres efter betalingslovens § 100, stk. 4, nr. 3, hvorefter betaleren medmindre videregående hæftelse følger af stk. 5 hæfter med op til 8.000 kr. for tab som følge af andres uberettigede anvendelse af betalingstjenesten, hvis betalerens udbyder godtgør, at den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, og at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse.
Den personlige sikkerhedsforanstaltning har været anvendt til godkendelse af betalingen, da betalingstransaktionen er godkendt med klagerens kortoplysninger og i klagerens MitID-app, der slutter på -960, installeret den 4. februar 2022.
Det fremgår af Nets’ autentifikationsportal, at betalingstransaktionen er korrekt registreret og bogført og ikke har været ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98.
Klagerens MitID er en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Klageren har ved groft uforsvarlig adfærd muliggjort den uberettigede anvendelse, da klageren må være tilgået et link i en falsk besked, videregivet sine kortoplysninger via linket og godkendt den omhandlede betaling i sin MitID-app på sin iPhone, da misbruget i modsat fald ikke kunne være sket.
Klageren har i øvrigt ikke oplyst, at hendes telefon med MitID har været bortkommet, eller at uvedkommende har haft adgang til telefon og koder til MitID.
Klageren fik i godkendelsesbilledet i MitID, netop forinden hun godkendte betalingen, forevist både beløbets størrelse samt navn på beløbsmodtager.
Det fremgik klart, at klageren var i færd med at godkende og gennemføre en betaling på 8.442,20 kr. til betalingsmodtager A med sit Visa/Dankort.
Ovenstående burde have skærpet klagerens opmærksomhed og givet hende anledning til at undersøge sagen yderligere, før hun godkendte betalingen.
Havde klageren læst detaljerne for betalingen, som de fremgik af godkendelsesteksten i MitID-appen, netop inden hun godkendte betalingstransaktionen, kunne misbruget have været undgået.
Da klagerens tab er større end 8.000 kr., skal klageren selv dække de første 8.000 kr., og banken har dækket 442,20 kr.
Banken har ikke mulighed for at forholde sig til klagerens oplysninger om kontrolkøb på betalingsmodtager A’s hjemmeside med en anden persons betalingskort. Banken har alene mulighed for at forholde sig til den konkrete betaling. Det afgørende er, at den konkrete betaling med klagerens betalingskort blev godkendt i klagerens MitID-app og dermed med stærk kundeautentifikation/to-faktor godkendelse.
Klageren oplyser, at der ved køb på internettet med betalingskort med stjålne oplysninger ikke sendes en notifikation til kortholderen. Banken forstår ikke, hvilken notifikation, som klageren henviser til. Hvis klageren mener den service-SMS med oplysning om beløb og modtager, som banken sender efter godkendelse af visse køb med betalingskort, så sendes denne besked alene ved brug af ”rene” Visa-kort og ved køb i udlandet. Da den omhandlede betaling er godkendt med Dankort-delen af et Visa/Dankort og til en beløbsmodtager i Danmark, så modtog klageren ikke en servicemeddelelse om betalingen.
Det afgørende i sagen er imidlertid ikke indholdet af en SMS, som, i de tilfælde, hvor den sendes, sendes efter at betalingen er godkendt. Det afgørende er, at klageren selv må have godkendt betalingen i sin MitID-app, hvor hun netop, lige inden godkendelsen, fik forevist både beløb og modtager.
Banken har til støtte for afvisningspåstanden anført, at klageren bestrider at have videregivet sine kortoplysninger og godkendt betalingen, og der er dermed sådan en usikkerhed om det faktisk passerede i sagen, herunder de nærmere omstændigheder i forbindelse med godkendelse af betalingen, at en afgørelse heraf forudsætter en bevisvurdering i form af parts- og vidneforklaringer. Dette kan ikke ske for Ankenævnet, men må i givet fald finde sted ved domstolene. Sagen skal dermed afvises, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Jyske Bank, hvor hun havde en konto med et tilknyttet Visa/Dankort -123.
Den 23. januar 2026 blev der gennemført en betaling på 8.442,20 kr. med klagerens betalingskort til en betalingsmodtager A, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med 3-D Secure i klagerens MitID -960, som var aktiveret på klagerens iPhone den 4. februar 2022. Klageren blev inden sin godkendelse præsenteret for følgende godkendelsestekst: ”Betal 8442,20 DKK til [betalingsmodtager A] fra kort [-123]”.
Klageren har anført, at hun ikke har godkendt betalingen med MitID. Hun har ikke modtaget en SMS eller e-mail med link, som hun skulle aktivere, og hun har heller ikke oplyst sit kortnummer m.m. Betalingen er sket uden hendes vidende. Hun opdagede betalingen, da hun skulle betale frisør med MobilePay.
Den 9. februar 2026 godtgjorde banken klagerens tab med fradrag af 8.000 kr. hvorfor den tilbageførte 442,20 kr. til klagerens konto.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 kr. af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Ankenævnet finder, at det på det foreliggende grundlag ikke er muligt at afgøre, om der foreligger misbrug under sådanne omstændigheder, at klageren hæfter for 8.000 kr. af tabet, jf. betalingslovens § 100, stk. 4. Ankenævnet finder, at en stillingtagen hertil forudsætter yderligere bevisførelse i form af parts- og vidneforklaringer, der ikke kan ske for Ankenævnet, men i givet fald må finde sted ved domstolene. Ankenævnet afviser derfor sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klageren får klagegebyret tilbage.