Krav om tilbageførsel af netbankoverførsel, der blev foretaget i forbindelse med bedragerisk telefonopkald. Overførslen foretaget fra erhvervskonto efter forudgående overførsler fra klagernes private konti.
| Sagsnummer: | 556/2026 |
| Dato: | 30-10-2026 |
| Ankenævn: | Bo Østergaard, Majken Christoffersen, Jimmy Bak, Morten Bruun Pedersen og Elizabeth Bonde. |
| Klageemne: |
Afvisning - erhvervsforhold § 2, stk. 3 og 4
Betalingstjenester - ikke-vedkendte hævninger Netbank - øvrige spørgsmål |
| Ledetekst: | Krav om tilbageførsel af netbankoverførsel, der blev foretaget i forbindelse med bedragerisk telefonopkald. Overførslen foretaget fra erhvervskonto efter forudgående overførsler fra klagernes private konti. |
| Indklagede: | Sparekassen Kronjylland |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører krav om tilbageførsel af netbankoverførsel, der blev foretaget i forbindelse med bedragerisk telefonopkald.
Sagens omstændigheder
Klagerne H og M var kunder i Sparekassen Kronjylland, hvor de havde private konti og netbankadgang. H havde kontiene -135 og -090, og M havde kontiene -173 og -673. M’s enkeltmandsvirksomhed havde endvidere en konto -754 (erhvervskontoen) og netbankadgang i sparekassen.
Den 29. juni 2026 blev der overført 12.087,87 kr. og 4.633,28 kr. fra H’s private konti til erhvervskontoen samt 564,91 kr. og 4.000,60 kr. fra M’s private konti til erhvervskontoen. I alt blev der således overført 21.286,66 kr. fra klagernes privatkonti til erhvervskontoen.
Derefter blev der samme dag overført 40.000 kr. fra erhvervskontoen til tredjemands konto i et andet pengeinstitut, P.
Om baggrunden for transaktionerne har klagerne oplyst, at de den 29. juni 2026 blev kontaktet telefonisk af personer, som udgav sig for at være fra politiet og ”Center for Cybersikkerhed”. De blev i forbindelse med telefonsamtalen med ”Center for Cybersikkerhed” bedt om at foretage overførsler fra deres private konti til erhvervskontoen og efterfølgende til en ”sikkerhedskonto”, som personen fra ”Center for Cybersikkerhed” oplyste kontonummeret på.
Sparekassen har oplyst, at M loggede på netbanken med brugernavn/bruger-id samt MitID som bevis for sin identitet, og at M derefter oprettede overførslen på 40.000 kr., som blev godkendt med MitID.
Sparekassen har endvidere oplyst, at der ved overførslen på 40.000 kr. som en ekstra sikkerhed blev sendt en SMS til M’s telefonnummer. Sparekassen har fremlagt en oversigt, hvoraf det fremgår, at der blev sendt en SMS med følgende tekst vedrørende overførslen på 40.000 kr.:
”Udlevér aldrig denne kode til andre – heller ikke til dit eget pengeinstitut. Du skal godkende din overførsel på 40.000,00 DKK til konto [XXXX].
Indtast engangskode [XXXX] i Netbank for at godkende oprettelsen. Er du ikke i gang med at oprette en overførsel, så spær straks dit MitID på ww.mitid.dk og kontakt dit pengeinstitut eller netbank support.”
Sparekassen har oplyst, at klagerne den 30. juni 2026 kontaktede sparekassens Fraud-afdeling. Den samme dag indgav M indsigelse til sparekassen vedrørende overførslen på 40.000 kr. fra erhvervskontoen. I indsigelsesblanketten krydsede M følgende punkter af:
”Har du selv lavet ovenstående transaktioner? Ja Nej
X
Er der andre der i det ovennævnte tidsrum har haft adgang til dit MitID eller kender din kode til MitID – Hvis ja, hvem?
Ja Nej
X”
Klagerne anmeldte endvidere sagen til politiet.
Sparekassen har oplyst, at sparekassens Fraud-afdeling forsøgte at få returneret de 40.000 kr. via udveksling med pengeinstitut P. Det lykkedes at få returneret 13.550 kr., som blev overført til erhvervskontoen den 8. juli 2026. Ved e-mail af 8. juli 2026 til M meddelte sparekassen, at den ikke ville tilbageføre den resterende del af beløbet.
Ved netbankmeddelelse af 31. juli 2026 til M meddelte sparekassen, at den fastholdt sin afgørelse af 8. juli 2026. Sparekassen oplyste, at sparekassen den 30. juni 2026 havde rettet henvendelse til pengeinstitut P med henblik på udveksling af det overførte beløb, og at overførslerne var korrekt registreret og bogført.
Parternes påstande
Den 31. juli 2026 har klagerne indbragt sagen for Ankenævnet med påstand om, at Sparekassen Kronjylland skal tilbageføre det resterende beløb på 26.445 kr. til dem.
Sparekassen Kronjylland har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klagerne har blandt andet anført, at de blev ringet op af en person, der udgav sig for at være fra Østjyllands Politi, og som påstod, at deres wifi og MitID var hacket. De blev stillet om til en person, der udgav sig for at være fra Center for Cybersikkerhed. Gennem ekstremt teknisk manipulation og pres i fem til seks timer overtalte personen dem til at samle deres private midler fra deres private konti på erhvervskontoen tilknyttet M’s enkeltmandsfirma under påskud af, at det var den eneste sikre konto. Herefter blev de manipuleret til at overføre 40.000 kr. til en sikkerhedskonto opgivet af svindleren.
Der er tale om social manipulation/it-svindel af private midler, som midlertidigt blev sluset igennem enkeltmandskontoen. De har ikke udleveret koder, kontonr., CPR-nr. eller MitID. Alt skete via telefonisk manipulation.
Betalingslovens § 100 finder anvendelse i sager om telefonisk svindel (social engineering), hvor forbrugeren manipuleres til selv at overføre beløbet. Et samtykke afgivet under svigagtige forudsætninger over for personer, der misbruger reelle myndighedsnavne (Østjyllands Politi, Center for Cybersikkerhed) og specifikke politi-id-numre, udgør ikke en gyldig autorisation i betalingslovens forstand. Transaktionen skal derfor retsligt kvalificeres som et uautoriseret misbrug, hvilket understøttes af den udvidede beskyttelse mod autoriseret svindel i betalingslovens § 100, stk. 7.
Sparekassen har henvist til en fremsendt SMS-godkendelseskode som bevis for, at M burde have reageret. Indholdet af den fremsendte SMS bekræfter dog netop M’s agtpågivenhed: SMS'en advarede specifikt: "Udlevér aldrig denne kode til andre". M har ikke udleveret koden til andre, men indtastede den selv.
SMS'en anfører: "Er du ikke i gang med at oprette en overførsel, så spær straks dit MitID". Da M var i telefonisk kontakt med personer, han legitimt troede, var det reelle politi, var han i den tro, at han udførte en nødvendig sikkerhedshandling. Han var således i fuld gang med at oprette overførslen i overensstemmelse med myndighedernes instrukser. Advarslen rammer derfor retsligt ved siden af den konkrete situation.
Da de på intet tidspunkt har udleveret personlige sikkerhedsoplysninger (MitID, koder eller CPR-nr.) til tredjemand, men udelukkende har handlet i god tro under professionel manipulation, foreligger der ikke grov uagtsomhed. Sparekassen hæfter derfor for det fulde tab i medfør af betalingslovens § 100.
Til sparekassens subsidiære påstand om afvisning bemærkes, at i alt 21.286,66 kr. af midlerne kom direkte fra deres private konti (H’s private konti -135 og 090 samt M’s private konti -0173 og -673). M’s firma er et enkeltmandsfirma, hvor der ikke eksisterer en juridisk eller formueretlig adskillelse mellem privatpersonen og virksomheden. Erhvervskontoen blev udelukkende anvendt som en midlertidig, teknisk mellemstation under direkte, svigagtig instruktion og massivt psykisk pres fra svindlerne, der udgav sig for at være fra Østjyllands Politi.
Formålet med transaktionerne var udelukkende privat forbrugerbeskyttelse, nemlig at sikre familiens private løn- og opsparingsmidler mod et påstået cyberangreb. Tvisten adskiller sig derfor ikke væsentligt fra et privat kundeforhold, jf. Ankenævnets vedtægter § 2, stk. 3, hvorfor Ankenævnet har fuld kompetence til at behandle klagen.
Sparekassen Kronjylland har til støtte for frifindelsespåstanden anført, at overførslen på 40.000 kr. blev godkendt og gennemført af M.
Klagerne har selv iværksat og godkendt de interne transaktioner fra private konti til erhvervskontoen.
M har selv iværksat og godkendt, herunder med MitID og SMS-kode, den pågældende transaktion fra erhvervskontoen til tredjemand. M loggede på netbanken med brugernavn/bruger-id samt MitID som bevis for sin identitet og oprettede derefter overførslen på 40.000 kr., som blev godkendt med MitID. Sparekassen har endvidere som en ekstra sikkerhed i den SMS, som blev fremsendt med koden til M’s telefon, advaret om, at M skulle spærre sit MitID, såfremt M ikke var i gang med at foretage en overførsel. Overførslen var dermed en autoriseret transaktion, jf. betalingsloven § 82.
Det forhold, at klagerne telefonisk blev overtalt til at gennemføre de interne transaktioner og den eksterne transaktion medfører ikke, at overførslen må anses som uautoriseret efter betalingsloven. Betalingslovens §§ 99 og 100 finder derfor ikke anvendelse, hvorfor sparekassen skal frifindes.
Sparekassen Kronjylland har til støtte for afvisningspåstanden anført, at overførslen på 40.000 kr. er foretaget fra en erhvervskonto, hvorfor sagen bør afvises med baggrund i § 2, stk. 4, i Ankenævnets vedtægter, da Ankenævnet ikke behandler klager fra erhvervskunder.
Ankenævnets bemærkninger
Klagerne H og M var kunder i Sparekassen Kronjylland, hvor de havde private konti og netbankadgang. H havde kontiene -135 og -090, og M havde kontiene -173 og -673. M’s enkeltmandsvirksomhed havde endvidere en konto -754 (erhvervskontoen) og netbankadgang i sparekassen.
Den 29. juni 2026 blev der overført 12.087,87 kr. og 4.633,28 kr. fra H’s private konti til erhvervskontoen. Samme dag blev der overført 564,91 kr. og 4.000,60 kr. fra M’s private konti -173 og -673 til erhvervskontoen. I alt blev der således overført 21.286,66 kr. fra klagernes privatkonti til erhvervskontoen den 29. juni 2026.
Derefter blev der samme dag overført 40.000 kr. fra erhvervskontoen til tredjemands konto i et andet pengeinstitut, P.
Om baggrunden for transaktionerne har klagerne oplyst, at de den 29. juni 2026 var blevet kontaktet telefonisk af personer, som udgav sig for at være fra politiet og ”Center for Cybersikkerhed”. Klagerne blev i forbindelse med telefonsamtalen med personen fra ”Center for Cybersikkerhed” bedt om at foretage overførsler fra deres private konti til erhvervskontoen og efterfølgende til en ”sikkerhedskonto”, som personen oplyste kontonummeret på.
Det lykkedes sparekassen at få returneret 13.550 kr., som blev overført til erhvervskontoen. Tabet udgør herefter 26.445 kr.
Ifølge Ankenævnets vedtægter § 2, stk. 3, kan klager fra erhvervsdrivende behandles, hvis klagen ikke adskiller sig væsentligt fra en klage vedrørende et privat kundeforhold. Klager fra erhvervsdrivende falder i øvrigt uden for Ankenævnets kompetence, jf. Ankenævnets vedtægter § 2, stk. 4.
Ankenævnet finder, at klagen må anses som en klage fra M’s enkeltmandsvirksomhed, der er kontohaver på erhvervskontoen, hvorfra kontooverførslen til tredjemands konto blev foretaget. Ankenævnet finder, at der derfor er tale om en klage fra en erhvervsdrivende, hvorfor Ankenævnet afviser at behandle klagen.
Ankenævnets afgørelse
Ankenævnet kan ikke behandle klagen.
Klagerne får klagegebyret tilbage.