Indsigelse mod at hæfte for op til 8.000 DKK af kort-transaktion, der blev godkendt i MitID.
| Sagsnummer: | 231/2026 |
| Dato: | 29-10-2026 |
| Ankenævn: | Katrine Waagepetersen, Inge Kramer, Signe Kjørup Carlsson, Tina Thygesen og Martin Hare Hansen. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Betalingstjenester - spørgsmål om groft uforsvarlig adfærd |
| Ledetekst: | Indsigelse mod at hæfte for op til 8.000 DKK af kort-transaktion, der blev godkendt i MitID. |
| Indklagede: | AL Sydbank A/S |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører indsigelse mod at hæfte for op til 8.000 DKK af korttransaktion, der blev godkendt i MitID.
Sagens omstændigheder
Klageren var kunde i AL Sydbank A/S, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -405.
Klageren har oplyst, at hun skulle betale en regning og i den forbindelse klikkede på linket og godkendte med MitID.
Den 22. februar 2026 blev der gennemført en kortbetaling på 776,68 USD svarende til 5.015,98 DKK med klagerens betalingskort -405 til en udenlandsk betalingsmodtager, betalingsmodtager X, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med oplysninger om kortnummer, udløbsdato og sikkerhedskode og efterfølgende godkendelse med klagerens MitID nøgle-app. Banken har fremlagt en udskrift fra Nets med teksten, der blev vist i klagerens MitID i forbindelse med godkendelsen af betalingen. Af teksten fremgik:
”Betal 776,68 USD til [betalingsmodtager X] fra kort [-405]”
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Den 11. marts 2026 gjorde klageren indsigelse mod betalingen. Af denne fremgår blandt andet:
”Jeg ønsker hermed at gøre indsigelse mod en kortbetaling, som jeg ikke selv har foretaget eller haft til hensigt at gennemføre.
Den pågældende transaktion er:
Dato: 24.02.2026 Beløb: 5.015,98 DKK Modtager: [betalingsmodtager X]
Hændelsesforløb:
Den 22. februar 2026 kom jeg ved en fejl til at godkende en betaling med MitID, efter at være blevet ført ind på et falsk eller vildledende link. På det tidspunkt var jeg ikke klar over, at der var tale om svindel.
Så snart jeg opdagede, at der kunne være tale om misbrug, kontaktede jeg straks bankens support samme dag (22. februar 2026). Under samtalen forklarede jeg situationen og oplyste, at jeg muligvis var blevet udsat for phishing/svindel. I forbindelse med denne henvendelse blev mit kort straks spærret for at forhindre yderligere misbrug.
Efterfølgende har jeg gennemgået mine kontobevægelser og har konstateret den ovenstående transaktion, som jeg ikke selv har foretaget eller ønsket at gennemføre.
Jeg indsender derfor denne indsigelse og anmoder om, at banken undersøger transaktionen nærmere som muligt kortmisbrug og behandler sagen i henhold til reglerne for uautoriserede betalinger.
Jeg kan bekræfte, at kortet er spærret, og at jeg ikke har modtaget nogen varer eller ydelser i forbindelse med den nævnte betaling.
Jeg anmoder derfor om, at beløbet tilbageføres, såfremt undersøgelsen viser, at der er tale om misbrug af mine kortoplysninger.”
Den 12. marts 2026 afviste banken indsigelsen og oplyste, at klageren hæftede med op til 8.000 DKK.
Den 17. marts 2026 klagede klageren over afgørelsen.
Den 18. marts 2026 fasthold banken afgørelsen.
Parternes påstande
Den 15. april 2026 har klageren indbragt sagen for Ankenævnet med påstand om, at AL Sydbank A/S skal tilbagebetale 5.015,98 DKK.
AL Sydbank A/S har nedlagt påstand om frifindelse.
Parternes argumenter
Klageren har anført, at betalingen er sket som følge af phishing og dermed må anses for uautoriseret.
Hun har ikke handlet groft uagtsomt og bestrider derfor, at hun skal hæfte for beløbet efter betalingslovens § 100.
Bankens afgørelse fremstår som en standardafvisning, idet der alene henvises til betalingslovens § 100 uden en konkret og individuel vurdering af hændelsesforløbet, herunder phishing-elementet i sagen.
Hun blev snydt og udsat for phishing.
Hun ringede med det samme til banken og informerede dem om hændelsen. De sagde, at hun skulle lave en indsigelse for at få beløbet tilbagebetalt. Så det giver ikke mening, at diskussionen fortsætter, selv efter hun nøjagtig har fulgt bankens anvisninger.
AL Sydbank A/S har anført, at det følger af betalingslovens § 98, stk. 1, at hvor en betaler nægter at have autoriseret eller iværksat en betalingstransaktion, har udbyderen af betalingstjenesten bevisbyrden for, at betalingstransaktionen er korrekt registreret og bogført og ikke er ramt af tekniske svigt eller andre fejl. Ved brug af et betalingsinstrument har udbyderen desuden bevisbyrden for, at den til betalingsinstrumentet hørende personlige sikkerhedsforanstaltning er blevet anvendt i forbindelse med betalingstransaktionen.
Betalingen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98, stk. 1.
Banken kan samtidig under henvisning til ovenstående sagsfremstilling konstatere, at betalingen er gennemført med MitID (en personlig sikkerhedsforanstaltning). Bevisbyrden i betalingslovens § 98, stk. 1, er derfor opfyldt.
Banken gør gældende, at klageren skal hæfte med en egenandel på 8.000 DKK, jf. betalingslovens § 100, stk. 4, da klageren muliggjorde misbruget ved groft uforsvarlig adfærd.
Det må således anses som groft uforsvarlig adfærd, at klageren indtastede sine kortoplysninger og godkendte betalingen via MitID nøgleappen på trods af den tydelige information om, at klageren var i gang med at godkende en betaling på 776,68 USD.
Klageren burde således have reageret på teksten i MitID-appen, hvor klageren fik tydelige information om, at klageren var i gang med at godkende den pågældende betaling.
Klageren befandt sig i øvrigt ikke i en presset situation ved afgivelse af sine kortoplysninger og godkendelse af betalingen.
Ankenævnets bemærkninger
Klageren var kunde i AL Sydbank A/S, hvor hun blandt andet havde en konto med et tilknyttet betalingskort -405.
Klageren har oplyst, at hun skulle betale en regning og i den forbindelse klikkede på et link og godkendte med MitID.
Den 22. februar 2026 blev der gennemført en kortbetaling på 776,68 USD svarende til 5.015,98 DKK med klagerens betalingskort -405 til en udenlandsk betalingsmodtager, betalingsmodtager X, som klageren ikke kan vedkende sig.
Banken har anført, at kortbetalingen blev godkendt med oplysninger om kortnummer, udløbsdato og sikkerhedskode og efterfølgende godkendelse med klagerens MitID nøgle-app.
Banken har oplyst, at transaktionen var korrekt registreret og bogført.
Den 11. marts 2026 gjorde klageren indsigelse mod betalingerne.
Den 12. marts 2026 afviste banken indsigelsen og oplyste, at klageren hæftede med op til 8.000 DKK.
Den 17. marts 2026 klagede klageren over afgørelsen.
Den 18. marts 2026 fastholdt banken afgørelsen.
Ankenævnet lægger til grund, at betalingstransaktionen er korrekt registreret og bogført og ikke ramt af tekniske svigt eller andre fejl, jf. betalingslovens § 98. Efter bestemmelsens stk. 2 er registrering af brug af et betalingsinstrument ikke i sig selv bevis for, at betaleren har godkendt transaktionen, at betaleren har handlet svigagtigt, eller at betaleren har undladt at opfylde sine forpligtelser, jf. betalingslovens § 93.
Ankenævnet finder, at klagerens MitID var en personlig sikkerhedsforanstaltning, jf. betalingslovens § 7, nr. 31. Ved transaktionen blev der anvendt stærk kundeautentifikation, jf. betalingslovens § 7, nr. 30.
Ankenævnet lægger til grund, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
Efter betalingslovens § 100, stk. 4, nr. 2 og 3, hæfter betaleren med op til 8.000 DKK af tabet som følge af andres uberettigede anvendelse, hvis betalerens udbyder godtgør, at betaleren med forsæt har overgivet den personlige sikkerhedsforanstaltning til den, der har foretaget den uberettigede anvendelse, uden at forholdet er omfattet af stk. 5, jf. betalingslovens § 100, stk. 4, nr. 2, eller at betaleren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, jf. betalingslovens § 100, stk. 4, nr. 3.
Tre medlemmer – Katrine Waageptersen, Inge Kramer og Signe Kjørup Carlsson – udtaler:
Efter de foreliggende oplysninger finder vi det godtgjort, at klageren har godkendt betalingen på 776,68 USD med sit MitID.
Vi finder, at banken har godtgjort, at klageren ved groft uforsvarlig adfærd har muliggjort den uberettigede anvendelse, da hun burde have reageret på teksten i MitID, hvor hun fik oplysninger om beløbet på 776,68 USD og betalingsmodtager X, og at klageren som følge heraf hæfter med op til 8.000 DKK.
Vi stemmer derfor for, at klageren ikke får medhold i klagen.
To medlemmer – Tina Thygesen og Martin Hare Hansen – udtaler:
Som ovenfor anført finder vi det godtgjort, at transaktionen skyldes tredjemands uberettigede anvendelse af klagerens betalingstjeneste.
På baggrund af MitID-partnerskabets forsikring om, at det ikke er muligt gennem tekniske løsninger at ændre teksten i MitID, herunder skjule, ændre eller maskere beløbet, finder vi efter de foreliggende oplysninger, at klageren må have godkendt ”Betal 776,68 USD til [betalingsmodtager X] fra kort [-405]”.
Vi finder, at der er tale om organiseret og professionel svindel.
Den professionelle svindel har kvalitetsmæssigt nået et niveau, hvor selv den agtpågivende forbruger let kan forveksle svindlen med henvendelser fra legitime erhvervsdrivende eller myndigheder. Det må aldrig blive utrygt for forbrugerne at anvende de digitale løsninger og betalingstjenester, der er nødvendige for at fungere i vores samfund.
Omfanget af digital kriminalitet stiller derimod store krav til udbyderne af digitale sikkerhedsløsninger samt betalingsinfrastrukturen, således at forbrugerne sikres bedst muligt. Dette gælder også i forhold til simpel fejlhåndtering, hvilket er helt almindelig praksis inden for forbrugerbeskyttelse ved andre produkter.
Vi finder derfor ikke, at klagerens fejlhåndtering af sikkerhedsløsningen, i en situation, hvor denne udsættes for professionel, organiseret kriminalitet, udgør groft uforsvarlig adfærd.
Vi finder ikke, at banken har godtgjort, at betingelserne for, at klageren hæfter efter de udvidede ansvarsbestemmelser i betalingslovens § 100, stk. 4, er opfyldt. I vurderingen har vi lagt vægt på, at bestemmelsen stiller krav om en groft uforsvarlig adfærd, førend betaleren kan pålægges at hæfte. Henset til sagens omstændigheder, finder vi samlet set, at flertallets afgørelse er udtryk for en for skærpet ansvarsnorm, der ikke tager behørigt hensyn til svindlens kvalitetsmæssige niveau og professionelle karakter.
Vi finder, at banken er nærmest til at bære risikoen for, at det betalingssystem, som forbrugerne anvender, er tilstrækkeligt sikkert til at hindre kriminelles misbrug heraf.
Da den til betalingstjenesten hørende personlige sikkerhedsforanstaltning har været anvendt, hæfter klageren for 375 DKK af tabet, jf. betalingslovens § 100, stk. 3.
Vi stemmer derfor for, at banken skal tilbageføre 4.640,98 DKK til klageren.
Sagen afgøres efter stemmeflertallet.
Ankenævnets afgørelse
Klageren får ikke medhold i klagen.