Sebastian Juul
EU-Domstolen slog 15. oktober 2026 fast, at banken skal betale et phishing-offer tilbage med det samme – også hvis kunden har været groft uagtsom.
Afgørelsen vender en udbredt europæisk bankpraksis, hvor banker har kunnet afvise erstatning med henvisning til, at kunden selv indtastede sine koder på en falsk side. Fremover gælder “betal først, diskutér bagefter” i hele EU, slår EU-Domstolen fast i sag C-70/25.
Sagen handler om en polsk bankkunde, der klikkede på et link, som udgav sig for at være fra en handelsside, og tastede sine netbank-oplysninger ind på en falsk side. En svindler nåede at overføre omkring 700 euro, svarende til cirka 5.200 kroner, inden kunden anmeldte det dagen efter. Banken PKO BP afviste at refundere beløbet og pegede på, at kunden havde udvist grov uagtsomhed.
Banken har én arbejdsdag
EU-Domstolen afviser den argumentation. Grov uagtsomhed kan ikke bruges som grund til at udskyde refunderingen. Banken skal betale beløbet tilbage “senest ved afslutningen af den arbejdsdag, der følger efter den dag, hvor den blev bekendt med eller fik meddelelse om transaktionen”, fastslår Domstolen i selve dommens konklusion.
Mener banken bagefter, at kunden selv skal bære tabet, må den anlægge sag og føre bevis for det. Bevisbyrden ligger hos banken, ikke hos kunden.
Kun én undtagelse
Dommen efterlader kun én dør åben for banken: Har den “rimelige grunde til at have mistanke om svig” fra kundens egen side, og indberetter den disse grunde skriftligt til den nationale tilsynsmyndighed, kan den udskyde refunderingen. En mistanke om grov uagtsomhed er ikke nok, understreger Domstolen.
Sådan rammer det en dansk kunde
Reglen gælder også i Danmark, hvor den europæiske betalingstjenestelov (PSD2) er skrevet ind i § 99 i lov om betalinger. Formuleringen er næsten ordret den samme: Banken skal “straks og senest ved afslutningen på den efterfølgende arbejdsdag tilbagebetale betaleren beløbet”, medmindre banken har mistanke om svig og underretter Finanstilsynet.
Det betyder i praksis, at hvis du ringer til din bank mandag morgen og anmelder en uautoriseret overførsel efter en falsk MitID- eller MobilePay-sms, så skal pengene som udgangspunkt stå på kontoen senest ved lukketid tirsdag. Først derefter må banken rejse sagen, hvis den mener, du har handlet uansvarligt.
De falske sms’er, der udgiver sig for at komme fra PostNord, DAO, SKAT eller sundhedsmyndighederne, har de seneste måneder sat dansk rekord i antal anmeldelser. Bølgen kommer oven i det store CPR-læk, hvor en dansk virksomheds adgang blev misbrugt til at trække data på 8,8 millioner personer. Stjålne CPR-numre gør svindlernes sms’er mere troværdige.
Det skal du gøre, hvis uheldet er ude
Opdager du en overførsel, du ikke har godkendt, skal du anmelde den til din bank hurtigst muligt. Jo før banken får besked, jo kortere er den frist, hvor pengene lovligt kan stå væk fra kontoen.
Nægter banken at refundere med henvisning til din adfærd, kan du klage til Det Finansielle Ankenævn eller indbringe sagen for Finanstilsynet. Dommen fra 15. oktober betyder, at banken ikke længere kan parkere din klage med et “du var selv ude om det”.
Sources: – [Judgment of the Court in Case C-70/25 (curia.europa.eu)](https://curia.europa.eu/site/upload/docs/application/pdf/2026-10/cp260147en.pdf) – [CJEU: Banks Must Refund Phishing Victims First (efri.io)](https://efri.io/cjeu-banks-must-refund-phishing-victims-first-gross-negligence-is-no-excuse/) – [Agence Europe bulletin on CJEU ruling](https://agenceurope.eu/en/bulletin/article/13961/25/bank-must-immediately-reimburse-customer-for-an-unauthorised-payment-transaction-even-in-cases-of-gross-negligence-says-cjeu)
