Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID.
| Sagsnummer: | 151/2026 |
| Dato: | 04-09-2026 |
| Ankenævn: | Katrine Waagepetersen, Iben Leisner, Kritte Sand Nielsen, Morten Bruun Pedersen og Martin Hare Hansen. |
| Klageemne: |
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd
Betalingstjenester - ikke-vedkendte hævninger |
| Ledetekst: | Indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID. |
| Indklagede: | Nordea Danmark |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for 8.000 DKK af korttransaktioner, der blev godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i Nordea Danmark, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -237.
Klageren har oplyst, at hun på et ikke nærmere angivet tidspunkt modtog en e-mail fra en webshop, hvor hun tidligere havde foretaget et onlinekøb. Af e-mailen fremgik det, at hendes adresse ikke var korrekt udfyldt. Kort tid efter modtog hun en SMS, der fremstod som værende sendt fra GLS. Af SMS’en fremgik det, at klageren skulle tilføje sin adresse og betale et fragtgebyr på 0,24 DKK. Da klageren afventede en pakke, som skulle leveres af GLS, klikkede hun på linket i SMS’en og indtastede sine kortoplysninger. Herefter godkendte hun transaktionen ved brug af MitID.
Klageren har i forbindelse med sagen fremlagt skærmbillede af SMS’en. Heraf fremgår blandt andet:
”[GLS] Leveringen af din ordre er blevet suspenderet, fordi der mangler et husnummer i din ordren.Administrer din levering: [Link]”
Den 3. februar 2026 blev der gennemført to kortbetalinger på hver 618 CHF svarende til 5.106,77 DKK., i alt 10.213,54 DKK) med klagerens betalingskort -237 til en udenlandsk betalingsmodtager, betalingsmodtager X, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingerne blev godkendt med klagerens MitID -341, som blev aktiveret den 28. september 2025 og deaktiveret den 6. februar 2026.
Banken har fremlagt et skærmbillede fra Nets med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen. Af teksten fremgik:
”Betal 618,00 CHF til [betalingsmodtager X] fra kort [-237]
Betal 618,00 CHF til [betalingsmodtager X] fra kort [-237]”
Banken har oplyst, at transaktionerne var korrekt registreret og bogført.
Klageren gjorde indsigelse mod betalingerne ved tro og love-erklæring af den 7. februar 2026. Af denne fremgår blandt andet:
”Provide additional information / description of events
Jeg er blevet udsat for svindel og har fået trukket 10.000 kr. fra min konto. Jeg ved ikke, hvem der har foretaget disse hævninger. Der er tale om to identiske beløb, hvilket virker meget mistænkeligt.
Jeg har ikke foretaget nogen køb og genkender ikke den pågældende hjemmeside. Jeg er derfor overbevist om, at der er tale om uautoriserede transaktioner.
Det ser desuden ud til, at der har været adgang til mit NemID, som jeg straks har spærret, ligesom jeg også har spærret mit betalingskort.
Situationen er meget alvorlig og ekstremt ubehagelig for mig”
Den 10. februar 2026 godtgjorde banken klagerens tab med fradrag af 8.000 DKK, hvorfor den tilbageførte 2.213,54 DKK til klagerens konto.
Parternes påstande
Den 22. februar 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at Nordea Danmark skal godtgøre hende 8.000 DKK.
Nordea Danmark har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at hun blev manipuleret til at godkende betalingerne.
Da SMS’en kom i direkte forlængelse af hendes bestilling og e-mailen om adressefejl, fremstod SMS’en troværdig. Der var således en konkret og aktuel leveringssituation, som understøttede henvendelsen. Hun klikkede på linket og indtastede sine kortoplysninger. Herefter godkendte hun betalingen i MitID-appen ved at swipe. På dette tidspunkt var hun af den klare overbevisning, at hun godkendte en fragtbetaling i forbindelse med sin pakke.
Hun havde ingen intention om at godkende en betaling på 618 CHF til en udenlandsk modtager og var ikke bevidst om, at hun godkendte en væsentlig højere betaling i fremmed valuta.
Efterfølgende blev der trukket to større beløb fra hendes konto på i alt 10.213,54 DKK, som hun ikke genkender og ikke har ønsket at gennemføre.
Så snart hun opdagede misbruget, kontaktede hun straks banken, som spærrede hendes kort og MitID.
Forholdet er anmeldt til politiet.
Selve godkendelsen udgør ikke i sig selv grov uagtsomhed, da hun ikke har videregivet PIN-kode, ikke bevidst har udleveret MitID-oplysninger til tredjemand, ikke har haft forsæt til at gennemføre den omhandlede betaling og reagerede straks, da hun opdagede misbruget.
Hun blev udsat for et professionelt phishing-set-up (social engineering), hvor svindlen var kontekstbaseret og målrettet. Situationen var konkret, troværdig og tidsmæssigt sammenfaldende med hendes reelle bestilling.
At hun i den situation swipede i MitID i den tro, at hun betalte fragt, kan ikke sidestilles med bevidst eller groft uforsvarlig adfærd. Grov uagtsomhed forudsætter en kvalificeret og åbenbar tilsidesættelse af sikkerhedshensyn. Hun befandt sig i en manipuleret kontekst og handlede i god tro.
Hun er 21 år og studerende og et tab på 8.000 DKK er en meget betydelig økonomisk belastning for hende. Hun anmoder om, at banken pålægges at tilbageføre det resterende beløb, idet betingelserne for maksimal selvrisiko efter lov om betalinger §100 stk. 4, nr. 3 ikke er opfyldt.
Nordea Danmark har anført, at klageren ikke bør få medhold, da klageren selv godkendte betalingerne på hver 618 CHF, og at hun derfor hæfter med op til 8.000 DKK.
Det er klagerens eget identfikationsmiddel, som blev oprettet 28. september 2025 med det unikke identifikationsnummer -341, som godkendte begge betalinger, og som først blev spærret 6. februar 2026 efter kortbetalingernes foretagelse. Det kan derfor lægges til grund, at kortbetalingerne blev godkendt med klagerens egen personlige sikkerhedsforanstaltning i form af MitID brugernavn og adgangskode, samt godkendelse i klagerens MitID-nøgleapp.
Klageren blev præsenteret for tekst, som var tydelig omkring beløb, betalingsmodtager samt kortnummer. Når klageren valgte at godkende begge beløb på 618 CHF, som hun var tydelig oplyst om, hvad angik og efterfølgende ikke vil vedkende sig, så var selve godkendelsen af betalingen i MitID nøgleapp groft uforsvarlig adfærd fra hendes side, hvorfor hun hæfter med en selvrisiko på 8.000 DKK, jf. Betalingslovens § 100, stk. 4, nr. 3.
Betalingerne var korrekt registreret, bogført og i øvrigt ikke fejlbehæftet.
Ankenævnets bemærkninger
Klageren var kunde i Nordea Danmark, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -237.
Klageren har oplyst, at hun på et ikke nærmere angivet tidspunkt modtog en e-mail fra en webshop, hvor hun tidligere havde foretaget et onlinekøb. Af e-mailen fremgik, at hendes adresse ikke var korrekt udfyldt. Kort tid efter modtog hun en SMS, der fremstod som værende sendt fra GLS. Af SMS’en fremgik, at klageren skulle tilføje sin adresse og betale et fragtgebyr på 0,24 DKK. Da klageren afventede en pakke, som skulle leveres af GLS, klikkede hun på linket i SMS’en og indtastede sine kortoplysninger. Herefter godkendte hun transaktionen ved brug af MitID.
Den 3. februar 2026 blev der gennemført to kortbetalinger på hver 618 CHF svarende til 5.106,77 DKK., i alt 10.213,54 DKK) med klagerens betalingskort -237 til en udenlandsk betalingsmodtager, betalingsmodtager X, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingerne blev godkendt med klagerens MitID -341, som blev aktiveret den 28. september 2025 og deaktiveret den 6. februar 2026.
Den 10. februar 2026 godtgjorde banken klagerens tab med fradrag af 8.000 DKK, hvorfor den tilbageførte 2.213,54 DKK til klagerens konto.
Ankenævnet lægger til grund, at betalingstransaktionerne er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionerne, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionerne blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Katrine Waagepetersen, Iben Leisner og Kritte Sand Nielsen – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren må have godkendt to betalinger på hver 618 CHF med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbet på hver 618 CHF og beløbsmodtageren, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Martin Hare Hansen – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionerne skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Vi finder, at der er tale om organiseret professionel svindel.
Forbrugere har forskellige forudsætninger for at gennemskue professionel svindel. Det må aldrig blive utrygt for den almindelige forbruger at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Vi finder derfor ikke, at klageren, ved at blive snydt af en professionel svindler, har udvist groft uforsvarlig adfærd. Det må forudsættes, at såfremt klageren havde forudsætninger for at gennemskue svindlen, ville klageren ikke have godkendt transaktionerne.
Hertil bemærkes et generelt forbehold for så vidt angår systemfejl. Det kan ikke udelukkes, at der i sager med phishing, er tale om raffineret systemteknisk misbrug, hvor svindleren er lykkedes med at udvikle tekniske løsninger, som muliggjorde svindlen.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, forbrugerne anvender, er tilstrækkelig sikkert og tydeligt til at hindre svindel.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 7.625 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.