Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.
| Sagsnummer: | 376/2026 |
| Dato: | 30-10-2026 |
| Ankenævn: | Bo Østergaard, Bjarke Levinsky Svejstrup, Majken Christoffersen, Morten Bruun Pedersen og Elizabeth Bonde. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion, der blev godkendt i MitID-app. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion, der blev godkendt i MitID-app.
Sagens omstændigheder
Klageren var kunde i Danske Bank, hvor hun havde et betalingskort -4258.
Den 1. april 2026 blev der foretaget en betaling på 900 EUR svarende til 6.759,13 DKK med klagerens betalingskort -4258 til en betalingsmodtager, C, som klageren ikke kan vedkende sig.
Den 2. april 2026 blev kortet blev spærret. Banken har oplyst, at spærringen skete i forbindelse med en betaling på 0 DKK til en betalingsmodtager, L.
Beløbet på 6.759,13 DKK blev bogført på klagerens konto den 8. april 2026.
Klageren har oplyst, at hun ikke havde en forståelse af, at hun godkendte en reel betaling på 900 EUR til C. Hun husker ikke, at beløbet tydeligt fremgik ved godkendelsen. Hun opfattede situationen som en opdatering af oplysninger vedrørende BroBizz efter en phishing-henvendelse.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID -4418. Banken har fremlagt en udskrift fra sit system, hvoraf det blandt andet fremgår, at MitID -4418 blev aktiveret 24. november 2023. Endvidere fremgår:
”01-04-2026 15:43:32.378 CEST App – autentificering lykkedes
...
MitID identifikationsmiddel ... -4418”
Banken har endvidere fremlagt en udskrift fra MitID af teksten, der blev sendt til klagerens MitID-app i forbindelse med godkendelse af betalingen. Af teksten fremgik:
”Betal 900,00 EUR til [C] fra kort xx4258”
Den 8. april 2026 gjorde klageren indsigelse mod betalingen. I forbindelse med indsigelsen. Klageren oplyste, at hun havde modtaget en mail, der angiveligt kom fra BroBizz. Mailen indeholdt et link, som hun trykkede på og opdaterede sine kortoplysninger.
Klageren anmeldte endvidere sagen til politiet.
Den 13. april 2026 afviste banken indsigelsen. Banken oplyste, at klageren selv hæftede for 8.000 DKK. Da betalingen var mindre end 8.000 DKK, blev klageren således ikke godtgjort.
Banken har fremlagt sine regler for Visa/Dankort, hvoraf det blandt andet fremgår:
”3.1 Betaling
Inden du godkender en betaling eller en hævning, skal du altid sikre dig, at beløbet er korrekt. Betalinger, som du har godkendt, kan ikke tilbagekaldes. Se dog pkt. 8 og 9 om muligheden for tilbageførsel af en betaling.”
Parternes påstande
Den 22. maj 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal tilbageføre beløbet til hende.
Danske Bank har nedlagt påstand om frifindelse, subsidiært afvisning.
Parternes argumenter
Klageren har anført, at hun ikke havde en forståelse af, at hun godkendte en reel betaling på 900 EUR til C. Hun husker ikke, at beløbet tydeligt fremgik ved godkendelsen.
Hun opfattede situationen som en opdatering af oplysninger vedrørende BroBizz efter en phishing-henvendelse. Den 1. april 2026 oplyste hun sit kort nummer til BroBizz, hvilket kostede 0 DKK.
Den 2. april 2026 kl. 06.55 modtog hun en SMS fra banken om, at kortet var blevet spærret, fordi uvedkommende muligvis havde fået adgang til hendes kortoplysninger, Hun skulle ringe til banken for at bekræfte transaktionen og fik i den forbindelse at vide, at det var bedst at få et nyt kort. Hun havde på det tidspunkt ingen anelse om, at hun var blevet svindlet. Banken skriver, at ”L” var årsagen til, at kortet blev spærret. Hun kender intet til ”L”.
Hun så først den 8. april 2026, at der var hævet 900 EUR på hendes konto. Hun ringede igen til banken og spurgte, hvordan dette kunne ske, når kortet var spærret den 2. april 2026. Hun fik ikke rigtig svar herpå, men fik at vide, at hun skulle lave en indsigelse og melde sagen til politiet.
Hun var på intet tidspunkt klar over, at hun godkendte en større udenlandsk betaling med MitID, men opfattede godkendelsen som en bekræftelse i forbindelse med opdatering af hendes kort til BroBizz. Hendes adfærd var ikke groft uforsvarlig. Hun troede, at hun opdaterede sine kortoplysninger til BroBizz til 0 DKK. Hvis der havde stået 900 EUR, ville hun ikke have godkendt det.
Hun havde ingen intention om at overføre penge til en tredjemand eller svindler. Hendes handling kan derfor ikke anses for groft uforsvarlig efter betalingslovens regler. Hun er blevet udsat for professionel phishing, hvor afsenderen fremstod troværdig, og hun handlede derfor i god tro.
Danske Bank har til støtte for frifindelsespåstanden anført, at kortbetalingen er korrekt registreret og bogført. Kortbetalingen er godkendt med klagerens MitID-app og dermed godkendt med stærk kundeautentifikation.
MitID-app’en var installeret på klagerens telefon, der var i klagerens besiddelse på tidspunktet for godkendelse af betalingen. Det på den baggrund må lægges til grund, at klageren selv autoriserede betalingen, omend uforvarende,
Klageren videregav selv sine kortoplysninger til tredjemand, hvilket muliggjorde betalingen.
Det fremgik af godkendelsesteksten i klagerens MitID-app, at betalingsmodtageren var ”C”, og at beløbet på 900 EUR ville blive trukket på klagerens betalingskort. Det måtte således være klart for klageren, at hun var ved at foretage en betaling på det pågældende beløb til den pågældende modtager.
Klageren befandt sig ikke i en presset situation i forbindelse med udleveringen af sine kortoplysninger og efterfølgende godkendelse af betalingen. Klageren muliggjorde således ved groft uforsvarlig adfærd betalingen, hvorfor klageren hæfter med 8.000 DKK i henhold til § 100, stk. 4, i lov om betalinger. Klageren er derfor ikke berettiget til en godtgørelse.
Klageren har anført, at betalingen ikke burde kunne ske, da kortet blev spærret den 2. april 2026, og betalingen først blev trukket på kontoen den 8. april 2026. Det bemærkes hertil, at banken ikke havde mulighed for at stoppe betalingen, der blev gennemført den 1. april 2026, idet betalingen var godkendt med MitID, hvorfor den ikke kunne tilbagekaldes i henhold afsnit 3.1 i bankens regler for Visa/Dankort. Det følger tilsvarende af betalingslovens § 111, stk. 1, at en betalingsordre ikke kan tilbagekaldes, efter at den er modtaget af betalerens udbyder.
Danske Bank har til støtte for afvisningspåstanden anført, at klagerens påstand om, at hun ikke inden godkendelse af betalingen i sin MitID-app kunne se, at betalingsmodtageren var ”C”, og at beløbet var 900,00 EUR, ikke hænger sammen med bankens oplysninger om, at klageren blev præsenteret for både betalingsmodtager og beløb i MitID-app’en, som var installeret på klagerens telefon, der var i klagerens besiddelse på tidspunktet for godkendelse af betalingen. En vurdering af sagen vil derfor kræve yderligere bevisførelse i form af vidne- og/ eller partsafhøring, der ikke kan ske for Ankenævnet, hvorfor Ankenævnet bør afvise at behandle sagen, jf. Ankenævnets vedtægter § 5, stk. 3, nr. 4.
Ankenævnets bemærkninger
Klageren var kunde i Danske Bank, hvor hun havde et betalingskort -4258.
Den 1. april 2026 blev der foretaget en betaling på 900 EUR svarende til 6.759,13 DKK med klagerens betalingskort -4258 til en betalingsmodtager, C, som klageren ikke kan vedkende sig.
Den 2. april 2026 blev kortet spærret. Banken har oplyst, at spærringen skete i forbindelse med en betaling på 0 DKK til en betalingsmodtager, L.
Beløbet på 6.759,13 DKK blev bogført på klagerens konto den 8. april 2026.
Banken har anført, at kortbetalingen blev godkendt med stærk kundeautentifikation i klagerens MitID -4418, som blev aktiveret 24. november 2023, og at klageren inden sin godkendelse blev præsenteret for følgende godkendelsestekst: ”Betal 900,00 EUR til [C] fra kort xx4258”.
Klageren har anført, at hun på intet tidspunkt var klar over, at hun godkendte en større udenlandsk betaling med MitID. Hun opfattede godkendelsen som en bekræftelse i forbindelse med opdatering af sit kort til BroBizz. Hun havde ikke en forståelse af, at hun godkendte en betaling på 900 EUR til C. Hun husker ikke, at beløbet tydeligt fremgik ved godkendelsen.
Ankenævnet finder, at det må lægges til grund, at det ikke var muligt at tilbageføre eller annullere transaktionen, efter den var godkendt, uanset tidspunkt for den efterfølgende spærring af betalingskortet og debitering af beløbet på klagerens konto.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Bo Østergaard, Bjarke Levinsky Svejstrup og Majken Christoffersen – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren har godkendt betalingen på 900 EUR med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysning om beløbet på 900 EUR og beløbsmodtager C, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Elizabeth Bonde – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
På baggrund af MitID-partnerskabets forsikring om, at det ikke er muligt gennem tekniske løsninger at ændre teksten i MitID, herunder skjule, ændre eller maskere beløbet, finder vi efter de foreliggende oplysninger, at klageren må have godkendt [tekst fra MitID].
Vi finder, at der er tale om organiseret og professionel svindel.
Den professionelle svindel har kvalitetsmæssigt nået et niveau, hvor selv den agtpågivende forbruger let kan forveksle svindlen med henvendelser fra legitime erhvervsdrivende eller myndigheder. Det må aldrig blive utrygt for forbrugerne at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Omfanget af digital kriminalitet stiller derimod store krav til udbyderne af digitale sikkerhedsløsninger samt betalingsinfrastrukturen, således at forbrugerne sikres bedst muligt. Dette gælder også i forhold til simpel fejlhåndtering, hvilket er helt almindelig praksis inden for forbrugerbeskyttelse ved andre produkter.
Vi finder derfor ikke, at klagerens fejlhåndtering af sikkerhedsløsningen, i en situation, hvor denne udsættes for professionel, organiseret kriminalitet, udgør groft uforsvarlig adfærd.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt. I vurderingen har vi lagt vægt på, at bestemmelsen stiller krav om en groft uforsvarlig adfærd, førend betaleren kan pålægges at hæfte. Henset til sagens omstændigheder, finder vi samlet set, at flertallets afgørelse er udtryk for en for skærpet ansvarsnorm, der ikke tager behørigt hensyn til svindlens kvalitetsmæssige niveau og professionelle karakter.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, som forbrugerne anvender, er tilstrækkeligt sikkert til at hindre kriminelles misbrug heraf.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 6.384,13 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.