Krav om tilbageførsel af netbankoverførsler, der blev foretaget i forbindelse med bedragerisk telefonopkald.
| Sagsnummer: | 148/2026 |
| Dato: | 16-10-2026 |
| Ankenævn: | Katrine Waagepetersen, Jacob Grubbe, Signe Vejen Hansen, Morten Bruun Pedersen og Poul Erik Jensen. |
| Klageemne: |
Betalingstjenester - ikke-vedkendte hævninger
Netbank - øvrige spørgsmål |
| Ledetekst: | Krav om tilbageførsel af netbankoverførsler, der blev foretaget i forbindelse med bedragerisk telefonopkald. |
| Indklagede: | Danske Bank |
| Øvrige oplysninger: | |
| Senere dom: | |
| Pengeinstitutter |
Indledning
Sagen vedrører krav om tilbageførsel af netbankoverførsler, der blev foretaget i forbindelse med bedragerisk telefonopkald.
Sagens omstændigheder
Klagerne M og H var kunder i Danske Bank, hvor de havde en fælleskonto -092, og H havde konto -822 og konto -795. Klagerne havde netbankadgang.
Den 13. januar 2026 blev der foretaget følgende fire netbankoverførsler på i alt 89.910 kr. fra klagerens konti til to forskellige modtagerkonti i et andet pengeinstitut:
|
Dato |
Tidspunkt |
Beløb |
Afsenderkonto |
Modtagerkonto |
|
13.01.2026 |
14:36 |
32.700 kr. |
-822 |
-943 |
|
13.01.2026 |
14:49 |
1.710 kr. |
-795 |
-943 |
|
13.01.2026 |
15:12 |
40.100 kr. |
-092 |
-943 |
|
13.01.2026 |
16:57 |
15.400 kr. |
-633 |
-898 |
Banken har oplyst, at de tre overførsler på 32.700 kr., 1.710 kr. og 15.400 kr. blev godkendt med H’s MitID-app (identifikationsmiddel A-6346) tilknyttet H’s telefon, der blev aktiveret den 14. oktober 2023. Overførslen på 40.100 kr. fra klagernes fælleskonto -092 blev godkendt med M’s MitID-kodeviser (T-6692) og adgangskode (P-5560), der begge har været aktive siden den 17. marts 2024.
Banken har endvidere oplyst, at der i forbindelse med overførslerne blev logget på netbanken fra den IP-adresse, som klagerne sædvanligvis benytter.
Om baggrunden for transaktionerne har klagerne oplyst, at H den 13. januar 2026 kl. 13:43 blev ringet op af en person, P1, der udgav sig for at være fra Nets. P1 fortalte, at H’s MitID var ved at blive misbrugt, da der kunne ses overførsler fra hendes konto til en konto i Holland, og at hun skulle kontakte en sikkerhedsperson fra banken. P1 oplyste et telefonnummer til ”sikkerhedsafdelingen” i banken. Mens H stadig talte med P1, ringede hun til det af P1 oplyste telefonnummer fra M’s telefon. Personen fra ”sikkerhedsafdelingen”, P2, præsenterede sig ved navn og talte flydende dansk. P2 forklarede, at klagernes formue i flere omgange skulle flyttes til en sikker konto, at dette skulle ske med P2’s hjælp fra H’s computer, og at H undervejs skulle godkende med sit MitID. Under samtalen modtog H en SMS fra banken om, at hendes MasterCard var spærret, hvilket P2 forklarede var foretaget af sikkerhedsmæssige årsager. H oplyste P2 om kontonavne og kortnumre samt M’s MitID. H fik oplyst, at pengene ville blive tilbageført dagen efter. P1 oplyste herefter, at politiet ville kontakte H samme dag, og oplyste et sagsnummer til videregivelse til politiet. Samtalen sluttede ca. kl. 17:45. Ca. tre minutter senere ringede deres svigerdatter til H, og H fortalte om opkaldet fra P1. Deres svigerdatter mente, at H var blevet udsat for svindel, og at H skulle kontakte banken hurtigst muligt.
Klagerne har endvidere oplyst, at H ringede til banken kl. 17:56, og at H efter at have siddet i kø i mere end 35 minutter, kom igennem til en medarbejder, der lukkede deres betalingskort. Samme aften ringede H til politiet, der oplyste, at hun skulle sikre sig, at ”alt på deres konti er lukket ned”. H ringede derfor igen til banken, hvor hun efter at have siddet i kø i 21 minutter fik lukket sine og M’s konti, MobilePay og betalingskort.
Banken har oplyst, at en medarbejder i banken sendte en e-mail til bankens indsigelsesafdeling den 13. januar 2026 kl. 19:31, og at indsigelsesafdelingen kontaktede modtagerbanken samme dag kl. 20:02 med anmodning om øjeblikkelig tilbageholdelse af beløbet. Modtagerbanken svarede den 14. januar 2026, at størstedelen af beløbet straks var blevet formøblet med kortbetalinger, og at der var foretaget en kontanthævning. Det lykkedes at sikre 600 kr., som er tilbageført til H’s konto.
Klagerne har oplyst, at H ringede til banken den 14. januar 2026 for at få en status på sagen. Denne gang sad hun i kø i 31 minutter. Banken sendte herefter en e-mail til hende med indsigelsesformuler med en tro- og loveerklæring.
Ved tro- og loveerklæring af 14. januar 2026 gjorde H indsigelse mod overførslerne. Om hændelsesforløbet skrev hun blandt andet:
”… I god tro overfører jeg pengene til denne konto. Vores kortnr. Får jeg også oplyst vedkommende om, samt [M’s] mitid.
…
Da jeg har afsluttet samtalen ser jeg den der har ringet til mig er en mand fra Grenå. Jeg ringer ham op og spørger, om han har ringet til mig i dag. Det havde han ikke. Da finder jeg ud af det hele var svindel. …”
Til spørgsmålet om, hvem der havde foretaget overførslerne, svarede H ”Det har jeg”.
Den 21. januar 2026 afviste banken klagernes indsigelse.
Klagerne klagede over bankens afgørelse, og den 16. februar 2026 fastholdt banken sin afvisning af klagernes indsigelse.
Parternes påstande
Den 21. februar 2026 har klagerne indbragt sagen for Ankenævnet med påstand om, at Danske Bank skal tilbageføre 89.910 kr. til dem, subsidiært med fradrag af 375 kr. eller mere subsidiært med fradrag af 8.000 kr.
Danske Bank har nedlagt påstand om frifindelse.
Parternes argumenter
Klagerne har blandt andet anført, at de er blevet udsat for en yderst professionel manipulation, der i sin form minder om de omstændigheder, som førte til medhold i Ankenævnets sag 455/2021.
P1 benyttede sig af sofistikerede metoder, herunder "spoofing" af et ukendt telefonnummer og besiddelse af personlige oplysninger, hvilket skabte en overbevisende vildfarelse om, at H’s konto var under angreb. Banken har helt ret i, at de selv foretog overførslerne og godkendte dem, men H var næsten skræmt fra vid og sans og var i god tro, da det under disse ekstraordinære omstændigheder ikke var muligt for H at gennemskue, at der var tale om svindel. H forstod overhovedet ikke, at noget kunne være galt. Banken kunne have grebet hurtigere ind, så skaden ikke var blevet så stor.
Selvom banken hævder, at overførslerne er “autoriserede”, fritager det ikke banken for dens monitoreringspligt. Banken burde med de tilgængelige algoritmer og AI-overvågning have identificeret og standset overførslerne som mistænkelige. Der henvises til principperne om monitorering i Ankenævnets sag 301/2024, hvor bankens ansvar for at beskytte kunden mod atypiske overførsler vægtes højt. Siden 2024 er det politiske og juridiske landskab skiftet (bl.a. med EU's PSR-forordning), hvor der stilles skærpede krav til bankernes ansvar for at opdage "spoofing". At systemet tillader fire store overførsler i træk til helt nye modtagere, som de aldrig før har interageret med, uden at vække en systemisk alarm eller kræve telefonisk verificering, er et svigt i bankens sikkerhedsnet. Banken burde som minimum have blokeret overførsel nr. to, tre og fire, da et mønster for svindel var tydeligt etableret efter den første usædvanlige overførsel. I sag C-287/19 (DenizBank), præciserede EU-Domstolen, at den tekniske registrering af en betalingstransaktion ikke i sig selv er nok til at bevise, at betaleren har autoriseret transaktionen eller handlet svigagtigt.
Det følger af nyere praksis fra 2024 og 2025, at bankerne bærer et øget ansvar for det manglende sikkerhedsnet i deres it-systemer, når svindlere kan manipulere kunder til at omgå MitID-sikkerheden så effektivt, som det skete i denne sag. Selvom beløbene i MitID-appen var korrekte, skete godkendelsen under en ekstrem psykisk påvirkning og vildfarelse ('Social Engineering'), som svindleren havde skabt. Ankenævnet har i nyere praksis fastslået, at bankens overvågningssystemer skal kunne identificere flere hurtige overførsler af store beløb til nye konti som værende 'atypiske' og dermed blokere dem præventivt.
Banken anfører, at der er tale om autoriserede transaktioner jf. betalingslovens § 82. De fastholder dog, at samtykket er mangelfuldt, da det blev fremkaldt ved svigagtig manipulation (social engineering) af professionelle svindlere, der udnyttede bankens navn og troværdighed. Svindlerne manipulerede dem til at benytte deres egne sikre enheder, hvilket gør svindlen sværere for dem at gennemskue, men netop derfor stiller større krav til banken evne til at spotte atypisk adfærd på kontiene (beløbsstørrelse og modtager). Det bemærkes i den forbindelse, at der aldrig tidligere er foretaget transaktioner fra M’s MasterCard. At de brugte deres egen IP-adresse, gør ikke svindlen mindre svigagtig eller bankens monitereringsansvar mindre.
EU-Domstolen og nyere juridisk litteratur sætter i stigende grad spørgsmålstegn ved "autorisation", når en bruger er under total kontrol af en svindler. I sagerne C-287/19 (DenizBank) og C-337/22 (Budapest Fôvàros Kormànyhivarala) slår EU-Domstolen fast, at begrebet “autorisation” ikke blot er en teknisk handling (fx. at trykke godkend), men at det kræver et bevidst samtykke til den specifikke transaktion. Da de blev manipuleret til at tro, at de flyttede penge til en sikret konto i deres eget navn for at afværge kriminalitet, var deres samtykke til at overføre penge til en tredjemand (svindleren) reelt ikke-eksisterende. Når samtykket er indhentet gennem svig, og kunden handler som en “mekanisk operatør” for svindleren, kan transaktionen efter EU-retlige principper ikke anses for at være autoriseret i direktivets forstand. Banken bærer risikoen for, at deres autentifikationsløsning (MitID) kan misbruges til at omgå deres reelle vilje gennem “social engineering”.
Banken har tilsidesat sin tabsbegrænsningspligt. I sager vedrørende igangværende straksoverførsler tæller hvert minut. Da H opdagede svindlen blot ni minutter efter overførslerne, kontaktede hun straks banken kl. 17:04. På dette tidspunkt må transaktionerne anses for at være i en fase, hvor en professionel og hurtig ageren fra bankens side kunne have sikret beløbene hos modtagerbanken. De ventede i mere end 35 minutter for at komme igennem til en medarbejder i banken. At bankens medarbejder var over 2,5 timer om at orientere indsigelsesafdelingen, og at der næsten gik tre timer fra de kontaktede banken og til, at banken kontaktede modtagerbanken kl. 20:02, udgør et krystalklart svigt i bankens tabsbegrænsningspligt. Bankens interne ekspeditionstid har reelt afskåret muligheden for at nå at tilbageholde eller spærre midlerne på modtagerkontoen, inden de blev hævet/formøblet. Banken anfører, at modtagerbanken har oplyst, at beløbene blev "formøblet straks", og at der derfor ikke er årsagssammenhæng. Sidste overførsel fandt sted kl. 16:57. Når banken først kontakter modtagerbanken kl. 20:02, er det usagligt af banken at konkludere, at pengene ikke kunne være reddet ved en prompte reaktion. Bankens eget tidsspild afskærer reelt muligheden for at efterprøve, om midlerne kunne være stoppet, såfremt banken havde handlet straks ved henvendelsen. Denne bevisusikkerhed bør ikke komme dem til skade.
Praksis fra Ankenævnet vedrørende bankens reaktionstid og sagshåndtering i akutte svindelsager (blandt andet i 10/2025 og 79/2022) slår fast, at en forbruger berettiget, kan forvente en omgående og effektiv indsats fra bankens side, når der rettes henvendelse direkte i ”gerningsøjeblikket”.
Uanset at banken henviser til nævnspraksis om autoriserede transaktioner, gøres det gældende, at der i nærværende sag var tale om en så ekstraordinær og lammende manipulation, at godkendelserne blev afgivet under fuldstændig vildfarelse. Subsidiært gøres det gældende, at bankens langsommelige sagsbehandling under alle omstændigheder må medføre et erstatningsansvar for banken for det tab, der kunne være afværget ved hurtig reaktion.
Da svindlen var så sofistikeret, at den må sidestilles med hændeligt uheld for en almindelig forbruger, må banken bære ansvaret. Banken skal derfor tilbageføre det tabte beløb, eventuelt med fradrag af den lovmæssige selvrisiko. Efter betalingslovens § 100, stk. 4, bør H’s hæftelse maksimalt begrænses til 8.000 kr. (hvis Ankenævnet finder uagtsomhed) eller 375 kr. (hvis Ankenævnet finder, at bankens sikkerhed var utilstrækkelig).
Danske Bank har blandt andet anført, at kontooverførslerne, som klagerne har gjort indsigelse imod, er korrekt registreret og bogført.
Klagerne har selv oplyst, at de foretog og godkendte de pågældende kontooverførsler, og der er således tale om autoriserede kontooverførsler, jf. betalingslovens § 82.
De pågældende kontooverførsler er dermed ikke omfattet af betalingslovens § 99 eller § 100.
Overførslerne er autoriseret med H’s MitID-app (A-6346), og overførslen fra klagernes fælleskonto er autoriseret med M’s MitID-kodeviser (T-6692) og adgangskode (P-5560). Samtlige overførsler er dermed godkendt med stærk kundeautentifikation.
H’s MitID-app var installeret på H’s telefon, der har været i H’s besiddelse og aktiveret siden den 14. oktober 2023. M’s MitID-kodeviser og adgangskode har været aktive siden den 17. marts 2024 og var i M’s besiddelse på tidspunktet for godkendelsen. Klagerne hæfter derfor selv for det fulde beløb, idet der ikke foreligger tredjemandsmisbrug omfattet af reglerne i betalingsloven.
Den af klagerne påberåbte sag 301/2024 støtter ikke klagernes anbringende om manglende monitorering, allerede fordi Ankenævnet i den sag frifandt afsenderbanken, idet det ikke var godtgjort, at banken var erstatningsansvarlig for klagerens tab. Sagen vedrørte SMS-svindel, hvor klagerens søn angiveligt havde brug for penge og bankernes efterfølgende behandling af indsigelsen. Ankenævnet frifandt begge banker. Tilsvarende er banken ikke bekendt med klagernes henvisning til, at ”Ankenævnet i nyere praksis har fastslået, at bankens overvågningssystemer skal kunne identificere flere hurtige overførsler af store beløb til nye konti som værende 'atypiske' og dermed blokere dem præventivt.”
Banken har ikke pligt til at stoppe en autoriseret transaktion. Bankens monitorerings- og overvågningssystemer giver derfor ikke grundlag for ansvar i nærværende sag.
Bankens overvågningssystemer er primært rettet mod at identificere og stoppe uautoriserede betalinger. Det er derimod i udgangspunktet i strid med betalingslovens § 110, hvis banken blokerer en autoriseret betaling, jf. hertil Susanne Karstofts kommentar i Karnov til § 110 ”Hvis rammeaftalens betingelser for gennemførelse af betalingsordren er opfyldt, må udbyderen ikke afvise at gennemføre ordren (medmindre gennemførelse af ordren er i strid med anden relevant fællesskabslovgivning eller national lovgivning, jf. f.eks. hvidvaskloven).”
Banken handlede ikke ansvarspådragende i forbindelse med kontakten til modtagerbanken, idet banken kontaktede modtagerbanken samme dag, som overførslerne fandt sted. Der er i øvrigt ikke er påvist nogen årsagssammenhæng mellem bankens sagsbehandlingstid og klagernes tab. Banken har i øvrigt ikke handlet ansvarspådragende.
Klagerne anfører, at de kontaktede banken den 13. januar 2026 klokken 17:04. Dette stemmer dog ikke overens med klagernes egen forklaring, der er fremlagt for banken og efterfølgende for Ankenævnet, hvor kundens opkald til banken og politiet sker senere på aftenen.
Sagerne 10/2025 og 79/2022 fastslår ikke, at en forbruger kan forvente en omgående og effektiv indsats fra bankens side i svindelsituationer, og ingen af dem opstiller en sådan standard for bankens reaktionstid.
Modtagerbanken har oplyst, at beløbene blev formøblet straks.
Klagerne henviser til C-287/19 og C-337/22 og anfører, at disse afgørelser understøtter, at begrebet 'autorisation' ikke blot er en teknisk handling, men kræver et bevidst samtykke til den specifikke transaktion, og at transaktionerne dermed ikke var autoriserede. C-287/19 omhandler imidlertid fortolkningen af begrebet 'betalingsinstrument' i relation til NFC/kontaktløse betalinger samt betingelserne for at påberåbe sig fravigelsesreglerne for lavværdibetalingsinstrumenter i artikel 63 i direktiv 2015/2366. Sagen tager ikke stilling til spørgsmålet om, hvorvidt en transaktion er autoriseret, når betaleren selv har gennemført den nødvendige godkendelse. C-337/22 vedrører EU-varemærkeret og har ingen forbindelse til betalingsretten.
Det er derimod fast flertalspraksis i Ankenævnets praksis, at transaktioner foretaget af kunden selv, herunder i forbindelse med bedrageriske telefonopkald (social engineering), er autoriserede og ikke giver grundlag for, at banken hæfter for transaktionerne. Se eksempelvis sagerne 155/2023 og 232/2025.
Banken bemærker, at PSR-forordningen endnu ikke er vedtaget og derfor ikke udgør gældende ret.
Ankenævnets bemærkninger
Klagerne M og H var kunder i Danske Bank, hvor de havde en fælleskonto -092, og H havde konto -822 og konto -795. Klagerne havde netbankadgang.
Den 13. januar 2026 blev der foretaget fire netbankoverførsler på i alt 89.910 kr. fra klagerens konti til to forskellige modtagerkonti i et andet pengeinstitut.
Banken har oplyst, at tre af overførslerne blev godkendt med H’s MitID-app (identifikationsmiddel A-6346) tilknyttet H’s telefon, der blev aktiveret den 14. oktober 2023, og at den sidste overførsel fra klagernes fælleskonto -092 blev godkendt med M’s MitID-kodeviser (T-6692) og adgangskode (P-5560), der begge har været aktive siden den 17. marts 2024.
Om baggrunden for transaktionerne har klagerne oplyst, at H den 13. januar 2026 kl. 13:43 blev ringet op af en person, P1, der udgav sig for at være fra Nets. P1 fortalte, at H’s MitID var ved at blive misbrugt, og at hun skulle kontakte en sikkerhedsperson fra banken. P1 oplyste et telefonnummer til sikkerhedsafdelingen i banken. Mens H stadig talte med P1, ringede hun til det af P1 oplyste telefonnummer fra M’s telefon. Personen fra sikkerhedsafdelingen, P2, præsenterede sig ved navn og talte flydende dansk. P2 forklarede, at klagernes formue i flere omgange skulle flyttes til en sikker konto, at dette skulle ske med P2’s hjælp fra H’s computer, og at H undervejs skulle godkende med sit MitID, hvilket H gjorde.
Tre medlemmer – Katrine Waagepetersen, Jacob Grubbe og Signe Vejen Hansen – udtaler:
Ud fra klagernes egne oplysninger om, at de selv foretog overførslerne, finder vi, at transaktionerne blev autoriseret af klagerne, jf. herved betalingslovens § 82, og at der ikke foreligger et misbrug, som banken hæfter for, jf. betalingslovens § 100. Dette gælder, uanset at det må lægges til grund, at klagerne blev narret og presset til at foretage transaktionerne i forbindelse med bedrageriske telefonopkald.
Vi finder heller ikke, at Danske Bank på andet grundlag kan gøres ansvarlig for klagernes tab.
Vi stemmer derfor for, at klagerne ikke får medhold i klagen.
To medlemmer – Morten Bruun Pedersen og Poul Erik Jensen – udtaler:
Vi finder, at den manipulation, klagerne er blevet udsat for, er at sidestille med en situation, hvor klagerne har udleveret oplysninger, herunder MitID-oplysninger, SMS-koder mv., og hvor disse er blevet misbrugt til at gennemføre uautoriserede overførsler.
Klagerne har været udsat for organiseret svindel i forbindelse med brug af en betalingstjeneste, som forbrugere forudsættes at anvende for at kunne fungere i vores samfund. Det bør ikke have afgørende betydning, om forbrugeren selv har gennemført transaktioner, og forbrugeren bør derfor være beskyttet af samme beløbsmæssige grænse som i situationer omfattet af betalingslovens § 100, stk. 4.
I modsat fald ville der opnås en retsstilling for forbrugere, hvor en mindre betydende divergens på handlinger udført af forbrugeren har uproportionale konsekvenser for en forbrugers økonomi, når det, der grundlæggende er ens i begge situationer, netop er manipulation og organiseret svindel uden for forbrugerens kontrol, og som en forbruger netop skal være beskyttet imod som udtrykt i § 100, stk. 4, hvorfor en analogi af denne bestemmelse er relevant i nærværende sag.
Klagerne bør derfor alene hæfte med 8.000 kr., ligesom i situationer omfattet af betalingslovens § 100, stk. 4.
Vi lægger som oplyst af banken til grund, at H har fået tilbageført 600 kr., og vi stemmer derfor for, at klagerne skal have 81.310 kr. tilbage (89.910 kr. fratrukket henholdsvis 8.000 kr. og 600 kr.).
Der træffes afgørelse efter stemmeflertallet.
Ankenævnets afgørelse
Klagerne får ikke medhold i klagen.