Sebastian Juul
EU-Domstolen slår fast, at banken skal udbetale et phishing-tab senest dagen efter du anmelder det.
Afgørelsen vender bevisbyrden om, og den rammer også danske banker, der hidtil har trukket sager i langdrag med påstand om, at kunden selv har handlet groft uagtsomt.
EU-Domstolen afsagde den 15. oktober 2026 dom i den såkaldte polske phishing-sag (C-70/25). En kunde havde solgt en vare på nettet, var blevet lokket til at taste sin netbank-adgang på en falsk side og havde udleveret en SMS-kode til en svindler, der overførte 3.000 polske zloty, svarende til cirka 5.300 danske kroner, væk fra kontoen. Banken afviste at betale pengene tilbage og pegede på, at kunden havde handlet groft uagtsomt.
Det kan banken ikke bruge som undskyldning for ikke at udbetale, fastslår EU-Domstolen nu. Transaktionen var uautoriseret, og så udløser betalingstjenestedirektivet (PSD2) en pligt til at refundere kunden “senest ved udgangen af den første arbejdsdag” efter banken er blevet gjort bekendt med sagen, medmindre banken har rimelig grund til at mistænke, at kunden selv står bag svindlen, og skriftligt indberetter dette til myndighederne.
Først pengene tilbage, så kampen om skylden
Dommen bygger på en skarp opdeling mellem to spørgsmål: hvem skal lægge pengene ud, og hvem skal i sidste ende bære tabet. Banken må ikke blande de to ting sammen og tilbageholde pengene, mens den selv vurderer kundens adfærd.
Først skal beløbet refunderes. Mener banken bagefter, at kunden har handlet forsætligt eller groft uagtsomt, må den anlægge sin egen sag og føre bevis for det. Bevisbyrden ligger hos banken, ikke hos kunden.
Dine rettigheder efter betalingsloven
De samme regler står allerede i den danske betalingslov. Efter § 100 hæfter du som udgangspunkt kun med 375 kroner ved misbrug af dine personlige sikkerhedsforanstaltninger, for eksempel MitID eller en SMS-kode. Resten skal banken dække.
Har du handlet groft uagtsomt, stiger din egen hæftelse til op til 8.000 kroner. Har du bevidst udleveret dine koder eller selv været med til at svindle, hæfter du for hele tabet.
Som Forbrugerrådet Tænk skriver: hvis dine personlige sikkerhedsforanstaltninger slet ikke er blevet brugt af svindleren, er bankens pligt klar, og du skal ikke lægge noget ud selv.
Hvornår banken alligevel sender regningen videre
8.000-kroners-grænsen er dér, de fleste danske phishing-sager ender. Det Finansielle Ankenævn har gang på gang godkendt, at banker trækker beløbet fra erstatningen, når kunden selv har godkendt en overførsel med MitID efter at være blevet lokket af en falsk mail eller sms. I én sag fik en kunde en falsk Skat-mail om udbetaling af overskydende skat, godkendte med MitID og mistede omkring 5.000 kroner. Nævnet fastslog, at kunden selv skulle betale selvrisikoen på 8.000 kroner.
En anden klassisk fælde er beløbs-tjekket. Står der 1.200 kroner i stedet for 12,00 euro, eller mangler der et komma, så kunden godkender et langt større beløb end hun tror, bliver det ifølge nævnets praksis vurderet som groft uagtsomt.
Den distinktion er central også efter EU-dommen: er transaktionen reelt uautoriseret, skal banken udbetale først. Men har du selv godkendt med MitID, kan banken fortsat fastholde, at det er en autoriseret betaling, og at selvrisikoen gælder.
Sådan sikrer du dig retten til pengene
Opdager du en uautoriseret hævning, så ring til banken med det samme og få sagen registreret skriftligt. Jo hurtigere banken bliver orienteret, jo kortere er fristen for udbetaling: senest ved slutningen af den næste arbejdsdag efter anmeldelsen. Anmeld samtidig sagen til politiet via politi.dk.
Afviser banken at udbetale på grund af grov uagtsomhed, kan du klage gratis til Det Finansielle Ankenævn, der behandler netop den type sager.
