B-5862/2024

Bundesverwaltungsgericht

Tribunal administratif fédéral

Tribunale amministrativo federale

Tribunal administrativ federal

Abteilung II

B-5862/2024

Urteil vom 16. Juni 2026

Besetzung

Richterin Eva Schneeberger (Vorsitz),

Richter Daniel Willisegger, Richterin Chiara Piras,

Gerichtsschreiberin Daniela Steffen.

Parteien

X._______ AG,

vertreten durch die Rechtsanwälte

Dr. iur. Flavio Romerio und/oder Sophie Matjaz

Beschwerdeführerin,

gegen

Eidgenössische Finanzmarktaufsicht FINMA,

Vorinstanz.

Gegenstand

Verletzung der Sorgfaltspflichten im Bereich GwG, Einziehung.

Sachverhalt:

A.

A.a Die X._______ AG (im Folgenden: Beschwerdeführerin oder Bank) verfügt über eine Bewilligung als Bank und ist vorwiegend in der Vermögensverwaltung, dem Kollektivanlagengeschäft, in der Anlageberatung und den damit zusammenhängenden Dienstleistungen wie Lombardkrediten sowie im Hypothekargeschäft in der Schweiz tätig. Die Muttergesellschaft der Beschwerdeführerin ist die Y._______ AG (im Folgenden: Y._______ AG) mit Sitz in [...]. Die Geschäftsleitung der Y._______ AG nimmt die operative Führung des Stammhauses sowie die Funktion der Gruppenleitung der Y._______ Gruppe wahr. Die Geschäftsleitung der Y._______ ist zudem in den Verwaltungsräten der Tochtergesellschaften vertreten. In der Regel amtiert jeweils ein Mitglied der Gruppenleitung als Verwaltungsratspräsident der einzelnen Tochtergesellschaften.

A.b Mit Schreiben vom 17. Mai 2022 teilte die Eidgenössische Finanzmarktaufsicht FINMA (im Folgenden: Vorinstanz oder FINMA) der Beschwerdeführerin die Eröffnung eines Enforcementverfahrens mit. Am 1. Juni 2022 zeigte die FINMA der Bank die Einsetzung der Z._______ AG, [...], als Untersuchungsbeauftragte (im Folgenden: Untersuchungsbeauftragte) an und gab der Bank die Möglichkeit, sich zur Person der Untersuchungsbeauftragten sowie zu deren Auftrag zu äussern. Die Beschwerdeführerin teilte der FINMA mit Schreiben vom 9. Juni 2022 mit, zur Person der Untersuchungsbeauftragten keine Einwände zu haben, brachte jedoch Vorbehalte betreffend den Umfang des Untersuchungsauftrages an.

A.c Mit provisorischer Verfügung vom 9. August 2022 setzte die FINMA die Z._______ AG als Untersuchungsbeauftragte ein. Als Fokus der Untersuchung bezeichnete sie insbesondere die Geschäftsbeziehungen mit dem Kunden A._______ (im Folgenden: A._______) und mit der Gesellschaft B._______ AG.

A.d Am 13. November 2023 reichte die Untersuchungsbeauftragte ihren Untersuchungsbericht ein.

A.e Mit Stellungnahme vom 2. Februar 2024 äusserte sich die Bank zum Untersuchungsbericht, zum Sachverhalt und dem Verfahren ausführlich.

B. Am 21. Juni 2024 erliess die Vorinstanz die Endverfügung mit folgendem Dispositiv:

"1.Der in schwerer Verletzung von aufsichtsrechtlichen Bestimmungen erzielte Gewinn von CHF 440'117.- wird zugunsten der Schweizerischen Eidgenossenschaft bei der X._______ AG eingezogen. Die X._______ AG wird angewiesen, den Betrag innerhalb von 30 Tagen nach Eintreten der Rechtskraft der vorliegenden Verfügung auf das Konto (...) bei der (...) zu überweisen. Eine allfällige strafrechtliche Einziehung bleibt ausdrücklich vorbehalten (Art. 35 Abs. 5 FINMAG).

2.Die X._______ AG wird im Sinne der Erwägungen verpflichtet, die von ihr geführten Geschäftsbeziehungen mit Kommerzkunden zu überprüfen und jene Geschäftsbeziehungen zu identifizieren, bei welchen die Kunden im Handel mit Dual-Use Gütern tätig sind. Die Bank hat zu entscheiden, ob diese Geschäftsbeziehungen unter dem aktuellen, verminderten Risikoappetit weitergeführt werden. Sollte sich die Bank gegen die Weiterführung entscheiden, sind die entsprechende Geschäftsbeziehungen zeitnah zu saldieren.

3.Die X._______ AG wird im Sinne der Erwägungen verpflichtet, bei der bereits eingeleiteten Erarbeitung und Umsetzung von Massnahmen zur Wiederherstellung des ordnungsgemässen Zustandes der Eidgenössischen Finanzmarktaufsicht FINMA ein regelmässiges Reporting betreffend die bestehenden Geschäftsbeziehungen mit Bezug zu den Märkten Russland und Belarus einzureichen.

4.Die X._______ AG wird im Sinne der Erwägungen verpflichtet, bei der bereits eingeleiteten Erarbeitung von Massnahmen folgende Punkte zu berücksichtigen und - gegebenenfalls ergänzend - entsprechende Massnahmen zu treffen und umzusetzen:

a. Vollständige Formalisierung der gruppenweiten Standards in bank-spezifischen Vorgaben mit formellem Weisungscharakter, sowie deren Wirksamkeit;

b. Angemessenheit der personellen und technischen Ausstattung und Wirksamkeit der Compliance-Funktion und deren Einbettung in das interne Kontrollsystem (IKS) sowie in die Governance der Bank;

c. Formeller Entscheid des Verwaltungsrates betreffend die Definition des Risikoappetits der Bank.

5.Der X._______ AG wird untersagt, neue Geschäftsbeziehungen (als Vertragspartner oder wirtschaftlich Berechtigte) zu politisch exponierten Personen mit Nationalität Russland oder Domizil in Russland, sowie Kommerzkunden mit Domizil in Russland oder mit Nationalität Russland und einem wesentlichen Nexus zu Russland oder Belarus zu eröffnen.

6.Zur Überprüfung der vollständigen Umsetzung sowie der Angemessenheit und Wirksamkeit der von der Bank beschlossenen und bereits umgesetzten Massnahmen sowie des Geldwäscherei-Dispositivs insgesamt wird die Eidgenössische Finanzmarktaufsicht FINMA im Rahmen der laufenden Aufsicht mittels separater Verfügung eine Prüfbeauftragte einsetzten. Die Prüfbeauftragte wird die vollständige Umsetzung, Angemessenheit und Wirksamkeit der von der X._______ AG getroffenen Massnahmen unter Berücksichtigung der Aspekte gemäss Ziff. 2 bis 5 überprüfen und der FINMA über ihre entsprechenden Feststellungen Bericht erstatten

Sollte der Bericht der Prüfbeauftragten Beanstandungen und/oder Empfehlungen enthalten, sind diese durch die X._______ AG vollständig zu beseitigen bzw. umzusetzen. Damit verbundene Nachprüfungen werden durch dieselbe Prüfbeauftragte durchgeführt und an die FINMA rapportiert. Einzelheiten zum zeitlichen und inhaltlichen Umfang dieser Nachprüfungen werden im Rahmen der laufenden Aufsicht festgelegt.

7.Das Mandat der Z._______ AG ist beendet. Die bis zum Erlass der vorliegenden Verfügung angefallenen Kosten der mit provisorischer Verfügung vom 9. August 2022 eingesetzten Untersuchungsbeauftragten werden auf CHF 615'839.10.- (inkl. MwSt.) festgesetzt und gestützt auf Art. 36 Abs. 4 FINMAG der X._______ AG auferlegt. Die X._______ AG hat der Untersuchungsbeauftragten die angefallenen Kosten bereits bezahlt.

8.Die Verfahrenskosten in der Höhe von CHF 150'000.- werden der X._______ AG auferlegt. Sie werden mit separater Post in Rechnung gestellt und sind innert 30 Tagen nach Eintritt der Rechtskraft zu begleichen."

Die verfügte Einziehung begründete die Vorinstanz damit, dass die Beschwerdeführerin durch ihre Verletzung von Sorgfaltspflichten aus dem Geldwäschereigesetz (zit. in E. 2) aufsichtsrechtliche Bestimmungen schwer verletzt habe. Die gemäss Finanzmarktaufsichtsgesetz für die Einziehung verlangte Schwere sei vorliegend aufgrund der mehrfachen und andauernden Verfehlungen, namentlich anhaltend fehlender Verifizierung der von den Kunden erhaltenen Informationen bei der Eröffnung der Geschäftsbeziehungen, unzureichende Risikokategorisierung, wiederholt mangelhafte Transaktionsüberwachung und Dokumentation, gegeben. Insbesondere sei die Information betreffend die frühere Tätigkeit des Bankkunden A._______ für den KGB (sowjetischer In- und Auslandsgeheimdienst und Geheimpolizei von 1954 bis 1991), welche spätestens ab dem Zeitpunkt der Eröffnung der Geschäftsbeziehung mit der B._______ AG im Februar 2009 vorgelegen habe, nie hinterfragt worden. Die mit den Geschäftsbeziehungen im Zusammenhang mit A._______ (von der Vorinstanz als A._______-Geschäftsbeziehungen bezeichnet) erwirtschafteten Erträge habe die Beschwerdeführerin somit nur erzeugen können, indem sie seit der Eröffnung geldwäschereirechtliche Sorgfaltspflichten verletzt habe. Der Gewinn auf diesen Konten sei der Beschwerdeführerin somit erst durch die Verletzung dieser Sorgfaltspflichten ermöglicht worden und unterliege entsprechend - unter Einbezug der siebenjährigen Verjährungsfrist gemäss Finanzmarktaufsichtsgesetz - ab Juni 2017 dem Recht auf Einziehung. Für die Berechnung des einzuziehenden Gewinnes werde daher für das Jahr 2017 unter Berücksichtigung der Verjährungsfrist die Hälfte des in diesem Jahr erzielten Gewinnes berücksichtigt und für die Jahre 2018 bis 2022 der gesamte Gewinn aus den A._______-Geschäftsbeziehungen.

C. Gegen diese Verfügung der Vorinstanz erhob die Beschwerdeführerin mit Eingabe vom 16. September 2024 Beschwerde beim Bundesverwaltungsgericht und beantragt deren Aufhebung. In verfahrensrechtlicher Hinsicht beantragt sie, dass bei der Veröffentlichung und Auflage von Entscheiden im vorliegenden Verfahren sämtliche Angaben, welche die Beschwerdeführerin, deren Mitarbeitende oder Kunden direkt oder indirekt identifizierten, vollständig zu anonymisieren seien.

In formeller Hinsicht rügt die Beschwerdeführerin, dass ihr rechtliches Gehör durch die Vorinstanz mehrfach verletzt worden sei.

In materieller Hinsicht bringt sie vor, bei objektiver Analyse der Fakten lasse sich keine schwere Aufsichtsrechtsverletzung in den letzten sieben Jahren feststellen. Die Vorinstanz begründe ihren Vorwurf auch nicht mit einzelnen konkreten Vorfällen, die sich in den letzten sieben Jahren zugetragen hätten, da diese auch nicht vorlägen. Statt auf konkrete Feststellungen stütze die Vorinstanz sich auf pauschale Vorwürfe. Dabei werde nicht zwischen unterschiedlichen Zeiträumen, Geschäftsbeziehungen oder Sachverhaltskomplexen unterschieden. Geschäftsbeziehungen, die teilweise äusserst lose bis gar nicht miteinander verbunden seien, würden als Gesamtkomplex betrachtet und längst verjährte Vorfälle würden in die Beurteilung einbezogen. Diese pauschale Würdigung gehe bis ins Jahr 2008 zurück und erfasse damit Fakten, die verjährt seien. Das sei nicht zulässig, da mit pauschalen Würdigungen die Verjährung nicht ausgehebelt werden könne. Die Vorinstanz müsste detailliert aufzeigen, aus welcher aufsichtsrechtlichen Bestimmung die Pflicht zur Vornahme welcher Handlung fliesse und inwiefern die Verfahrenspartei diese spezifische Handlung, trotz bestehender rechtlicher Handlungspflicht, unterlassen habe. Diesen Anforderungen genügten die pauschalen Ausführungen der Vorinstanz nicht. Meldepflichten seien nicht verletzt worden. Allein auf Basis der angeblichen Meldepflichtverletzungen könne der Bank keine schwere Aufsichtsrechtsverletzung vorgeworfen werden. In diesem Zusammenhang stelle die FINMA nämlich kein systematisches Versagen oder grundlegendes Defizit bei der Bank fest. Vielmehr laute der Vorwurf darauf, dass einzelne Mitarbeitende Fehlentscheidungen getroffen oder nachlässig gehandelt hätten. Wenn aber einzelne Mitarbeitende gegen die Meldepflicht verstossen hätten, sei die Remedur eine entsprechende Strafuntersuchung gegen die betroffenen Mitarbeitenden und nicht ein Enforcement gegen die arbeitgebende Bank. Schliesslich zeige die Vorinstanz in ihrer Verfügung nicht auf, inwiefern konkrete und nicht verjährte schwere Aufsichtsrechtsverletzungen natürlich und adäquat kausal zur Erwirtschaftung von konkreten Gewinnen geführt haben sollten. Sie versuche vielmehr, mit einem pauschalen Vorwurf sämtliche Gewinne, die in den letzten sieben Jahren angefallen seien, einzuziehen. Dies entspreche nicht der Konzeption der Gesetzesbestimmung, wonach die Einziehung gerade keinen pönalen Charakter haben solle. Entsprechend sei die angeordnete Einziehung integral aufzuheben.

D. Mit Vernehmlassung vom 28. Oktober 2024 beantragt die Vorinstanz die Abweisung der Beschwerde. Sie verweist unter anderem darauf, der Überblick über sämtliche Rollen und Beziehungen eines Kunden sei unerlässlich, um den geldwäschereirechtlichen Pflichten nachzukommen. Betreffend den vorliegend untersuchten Sachverhalt rund um den Kunden A._______ seien die Geschäftsbeziehungen insbesondere auch aufgrund der komplexen Struktur und dem engen Zusammenhang somit in ihrer Gesamtheit zu untersuchen und zu beurteilen. Die Beschwerdeführerin habe es unterlassen, seit der Eröffnung der fraglichen Geschäftsbeziehungen ihre Sorgfaltspflichten aus der Geldwäschereigesetzgebung zu erfüllen. Diese andauernde Unterlassung habe während des gesamten Zeitraums, in welchem die fraglichen Geschäftsbeziehungen bestanden hätten beziehungsweise bis zu deren Belegung mit einer Transaktionssperre, stattgefunden.

E. Mit Replik vom 12. Dezember 2024 hält die Beschwerdeführerin an ihren Anträgen fest.

F. Mit Duplik vom 28. Januar 2025 hält die Vorinstanz vollumfänglich an ihrer Verfügung und ihrer Vernehmlassung fest.

G. Die Beschwerdeführerin äussert sich mit Eingabe vom 12. Februar 2025 zur Duplik und erneuert ihre Vorbringen und Rechtsbegehren.

H. Auf die weiteren Eingaben der Parteien wird - soweit entscheidwesentlich - in den Erwägungen eingegangen.

Das Bundesverwaltungsgericht zieht in Erwägung:

1.

1.1 Der Entscheid der Vorinstanz vom 21. Juni 2024 stellt eine Verfügung im Sinne von Art. 5 des Verwaltungsverfahrensgesetzes vom 20. Dezember 1968 (VwVG, SR 172.021) dar. Das Bundesverwaltungsgericht ist gemäss Art. 31 des Verwaltungsgerichtsgesetzes vom 17. Juni 2005 (VGG, SR 173.32) Beschwerdeinstanz für Beschwerden gegen Verfügungen nach Art. 5 VwVG, die unter anderem von Anstalten und Betrieben des Bundes erlassen werden (Art. 33 Bst. e VGG). Darunter fällt die von der Vorinstanz erlassene Verfügung (Art. 54 Abs. 1 des Finanzmarktaufsichts-gesetzes vom 22. Juni 2007 [FINMAG, SR 956.1]). Das Bundesverwaltungsgericht ist damit zur Behandlung der vorliegenden Streitsache zuständig.

1.2 Zur Beschwerde ist legitimiert, wer am Verfahren vor der Vorinstanz teilgenommen oder keine Möglichkeit zur Teilnahme erhalten hat, durch die angefochtene Verfügung besonders berührt ist und ein schutzwürdiges Interesse an deren Aufhebung oder Änderung hat (Art. 48 Abs. 1 VwVG).

Die Beschwerdeführerin ist durch die angeordneten Massnahmen offensichtlich besonders betroffen und hat ein schutzwürdiges Interesse an deren Aufhebung. Sie ist daher zur Beschwerdeführung legitimiert.

1.3 Die Beschwerdefrist sowie die Anforderungen an Form und Inhalt der Beschwerdeschrift wurden gewahrt (vgl. Art. 50 Abs 1 sowie 52 Abs 1 VwVG) und der Kostenvorschuss wurde geleistet (vgl. Art. 63 Abs. 4 VwVG). Ebenso hat sich die Rechtsvertretung der Beschwerdeführerin durch eine schriftliche Vollmacht ausgewiesen (Art. 11 Abs. 2 VwVG).

1.4 Auf die Beschwerde ist somit einzutreten.

2. Erfolgt eine Änderung der gesetzlichen Grundlage und fehlen entsprechende Übergangsbestimmungen im betreffenden Erlass, so ist das anwendbare Recht nach den allgemeinen intertemporalrechtlichen Regeln zu bestimmen. Demnach sind in zeitlicher Hinsicht grundsätzlich diejenigen materiellen Rechtssätze anwendbar, die bei der Verwirklichung des rechtlich zu würdigenden und zu Rechtsfolgen führenden Sachverhalts in Kraft waren (BGE 146 V 364 E. 7.1; 137 V 105 E. 5.3.1; 130 V 445 E. 1.2.1 m.H.; zum Finanzmarktrecht ausdrücklich Urteil des BGer 2C_29/2016 vom 3. November 2016 E. 3.2). Handelt es sich um Verfahrensvorschriften, gilt der allgemeine Grundsatz, wonach diese, in der Regel, unmittelbar anwendbar sind (BGE 130 V 1 E. 3.2; Urteil des BVGer B-3771/2012 vom 12. März 2013 E. 1.4.3.1).

Gemäss den Ausführungen in der angefochtenen Verfügung hat sich der im vorliegenden Verfahren zu beurteilende Sachverhalt im Wesentlichen im Zeitraum von Ende 2008 bis 9. August 2022 (Untersuchungszeitraum) ereignet.

Daher sind die für den vorliegenden Fall anwendbaren Vorschriften (Gesetze, Verordnungen, Rundschreiben) diejenigen, die von 2008 bis 2022 in Kraft waren, insbesondere:

- das Bundesgesetz vom 8. November 1934 über die Banken und Sparkassen (Bankengesetz, BankG, SR 952.0), in der jeweils geltenden Fassung,

- das Bundesgesetz vom 10. Oktober 1997 über die Bekämpfung der Geldwäscherei und der Terrorismusfinanzierung (Geldwäschereigesetz, GwG, SR 955.0), in der jeweils geltenden Fassung,

- die Verordnung vom 3. Juni 2015 der Eidgenössischen Finanzmarktaufsicht über die Bekämpfung von Geldwäscherei und Terrorismusfinanzierung im Finanzsektor (Geldwäschereiverordnung-FINMA, GwV-FINMA, SR 955.033.0, in Kraft seit 1. Januar 2016, in der jeweils geltenden Fassung), die Verordnung der Eidgenössischen Finanzmarktaufsicht vom 8. Dezember 2010 über die Verhinderung von Geldwäscherei und Terrorismusfinanzierung (aGwV-FINMA, AS 2010 6295, in Kraft vom 1. Januar 2011 bis am 31. Dezember 2015), sowie die Verordnung der Eidgenössischen Finanzmarktaufsicht vom 18. Dezember 2002 über die Verhinderung von Geldwäscherei und Terrorismusfinanzierung im Banken-, Effektenhändler- und Kollektivanlagenbereich (Geldwäschereiverordnung-FINMA 1, GwV-FINMA 1, AS 2003 554, in Kraft vom 1. Juli 2003 bis am 31. Dezember 2010).

Wird nachfolgend nur eine neue Bestimmung zitiert, hat sich ihr Wortlaut gegenüber der früheren Bestimmung nicht verändert.

3. Die Beschwerdeführerin rügt vorab eine Verletzung ihres Anspruchs auf rechtliches Gehör.

Die Vorinstanz bestreitet eine derartige Verletzung.

3.1 Die Beschwerdeführerin rügt im Einzelnen, die Vorinstanz hätte ihr insbesondere die Möglichkeit einräumen müssen, sich vor dem Erlass der Verfügung, zu deren Sachverhaltsdarstellungen und etwaigen Massnahmen sowie deren konkreter Begründung zu äussern. Ohne konkrete Hinweise zu den angedachten Massnahmen sei eine Stellungnahme aus Sicht der Beschwerdeführerin ein blosses Rätselraten. Es sei im Voraus etwa nicht erkennbar gewesen, welche Aspekte die Vorinstanz aus dem Untersuchungsbericht aufgreifen würde und welche Massnahmen sie sich dazu ausdenke. Im Voraus habe sich die Beschwerdeführerin nicht ausmalen können, dass die Vorinstanz etwa ein unbefristetes Verbot verhängen würde, bestimmte Kunden neu aufzunehmen, wenn nicht aktuelle und massive Missstände bestünden. Dies sei bisher noch nie vorgekommen. Es sei auch nicht vorstellbar gewesen, dass die Vorinstanz bei korrekt geführten Beziehungen alle Gebühren und bezahlten Zinsen aus den letzten sieben Jahren als "Gewinne" hätte einziehen wollen, weil angeblich bei anderen Beziehungen inzwischen verjährte Mängel bestanden hätten. Ausserdem sei nicht absehbar gewesen, wie die Vorinstanz mit der von der Bank aufgeworfenen Verjährungsfrage umgehen würde, und welche Beziehungen damit für die Endverfügung überhaupt noch relevant sein würden. Der besonders grosse Ermessensspielraum der Vorinstanz bei der Anwendung der Gesetzesbestimmungen bezüglich der Wiederherstellung des ordnungsgemässen Zustandes sowie der Einziehung impliziere einen Anspruch auf Anhörung vor Erlass der Verfügung hinsichtlich der Rechtsanwendung und der vorgesehenen Massnahmen. Die angefochtene Verfügung erwecke den Eindruck, als habe die Vorinstanz die eingereichte Stellungnahme, inklusive den sehr umfangreichen Anhang, gar nicht oder nur rudimentär zur Kenntnis genommen. Abgesehen von einer Zusammenfassung der Argumente der Beschwerdeführerin auf nur einer Seite werde in der 62-seitigen angefochtenen Verfügung nur an zwei Stellen inhaltlich auf die eingereichte Eingabe verwiesen. Die Verfügung bestehe im Wesentlichen aus einer Zusammenfassung des Berichts des Untersuchungsbeauftragten und der Wiedergabe von Textbausteinen. Bei der Beurteilung werde nicht zwischen unterschiedlichen Zeiträumen, Geschäftsbeziehungen oder Sachverhaltskomplexen unterschieden.

3.2 Der durch Art. 29 Abs. 2 BV gewährleistete und in den Art. 29 ff. VwVG für das Verwaltungsverfahren des Bundes konkretisierte Grundsatz des rechtlichen Gehörs dient einerseits der Sachaufklärung und stellt andererseits ein persönlichkeitsbezogenes Mitwirkungsrecht beim Erlass eines Entscheids dar, welcher in die Rechtsstellung des Einzelnen eingreift (BGE 140 I 99 E. 3.4). Als Mitwirkungsrecht umfasst der Anspruch alle Befugnisse, die einer Partei einzuräumen sind, damit sie in einem Verfahren ihren Standpunkt wirksam zur Geltung bringen und auf den Prozess der Entscheidfindung Einfluss nehmen kann (BGE 135 II 286 E. 5.1).

Die Behörde hört die Parteien an, bevor sie verfügt (Art. 30 Abs. 1 VwVG). Entsprechend besteht ein Anspruch, vor Erlass der Verfügung Stellung zu nehmen. Die Parteien müssen dabei aber nicht Gelegenheit erhalten, sich zu jedem möglichen Ergebnis, das von der entscheidenden Behörde ins Auge gefasst wird, zu äussern. Die Behörde hat in diesem Sinne nicht ihre Begründung den Parteien vorweg zur Stellungnahme zu unterbreiten. Auf welche Rechtsgrundlagen sie sich voraussichtlich stützen will, hat sie den Parteien nur mitzuteilen, wenn sie nicht vorhersehbar sind (BGE 132 II 257 E. 4.2; Urteil des BGer 2C_771/2019 vom 14. September 2020 E. 6.1 f.). Neben dem Recht, zu Sachverhaltsermittlungen der verfügenden Behörde Stellung zu nehmen, kann in Ausnahmefällen ein Anspruch darauf bestehen, sich auch zu deren Rechtsauffassung zu äussern, nämlich in Fällen, in denen die Behörde beabsichtigt, sich auf Rechtsnormen zu berufen, deren Berücksichtigung für die Parteien vernünftigerweise nicht voraussehbar war, wenn sich die Rechtslage geändert hat oder wenn ein besonders weiter Ermessensspielraum besteht (BGE 129 II 497 E. 2.2 m.w.H.; 127 V 431 E. 2 b/cc). Wie weit das Äusserungsrecht geht, lässt sich nicht generell, sondern nur unter Würdigung der konkreten Umstände beurteilen. Entscheidend ist, ob dem Betroffenen ermöglicht wurde, seinen Standpunkt wirksam zur Geltung zu bringen (BGE 144 I 11 E. 5.3).

3.3 In ihrer ausführlichen Stellungnahme vom 2. Februar 2024 äusserte sich die Beschwerdeführerin zum Untersuchungsbericht und insbesondere auch zu einer allfälligen Einziehung. Sie legte zudem dar, inwiefern ihrer Auffassung nach die Voraussetzungen zur Anordnung von Massnahmen nicht erfüllt seien und weshalb keine Verletzung von Dual-Use-Bestimmungen vorliege.

Offensichtlich war die Beschwerdeführerin beim Verfassen dieser Stellungnahme somit nicht im Unklaren darüber, dass die Vorinstanz angesichts der Ergebnisse der Untersuchung eine Gewinneinziehung sowie möglicherweise weitere Massnahmen in Betracht zog. Der sinngemässen Auffassung der Beschwerdeführerin, die Vorinstanz hätte ihr darüber hinaus auch ihre Überlegungen zur Berechnung eines allfälligen Einziehungsbetrags darlegen sowie jede der in Betracht gezogenen möglichen Massnahmen bereits vorher im Detail skizzieren müssen, kann nicht gefolgt werden.

3.4 Mit dem Recht auf vorgängige Anhörung korreliert die Pflicht der Behörde, die Äusserungen der Parteien tatsächlich zur Kenntnis zu nehmen und sich damit in der Entscheidfindung und -begründung sachgerecht auseinanderzusetzen (Berücksichtigungspflicht, Art. 32 f. VwVG; vgl. Bernhard Waldmann/Jürg Bickel, in: Waldmann/Krauskopf [Hrsg.], Praxiskommentar Verwaltungsverfahrensgesetz, 3. Aufl. 2023, Art. 29 N. 80 ff., Art. 30 N. 6). Nicht unter die Berücksichtigungspflicht nach Art. 32 VwVG fällt die rechtliche Argumentation der Parteien (vgl. Urteile des BVGer B-7186/2018 vom 29. Juli 2021 E. 2.5.1; A-832/2014 vom 20. August 2014 E. 4.2 m.H.). Stellungnahmen der Parteien dürfen zwar Rechtserörterungen enthalten, die Behörde ist jedoch nicht verpflichtet, sich damit auseinanderzusetzen (vgl. Waldmann/Bickel, a.a.O., Art. 32 N. 6). Die Berücksichtigungspflicht wird aber verletzt, wenn die Vorinstanz die Sachvorbringen des Beschwerdeführers, die für das Verfahren ausschlaggebend erscheinen, von vornherein nicht hört (Urteil des BVGer B-7186/2018 vom 29. Juli 2021 E. 2.5.1).

Aus dem Anspruch, dass die Behörde die Vorbringen des vom Entscheid in seiner Rechtsstellung Betroffenen auch tatsächlich hört, prüft und in der Entscheidfindung berücksichtigt, folgt die Verpflichtung der Behörde, ihren Entscheid zu begründen (vgl. BGE 143 III 65 E. 5.2). Die Verpflichtung zur Begründung der Entscheidung (vgl. Art. 35 VwVG) ist erfüllt, wenn der Betroffene die Möglichkeit hat, deren Tragweite zu beurteilen und sie in voller Kenntnis der Sachlage einer höheren Behörde vorzulegen. Es reicht aus, wenn die Vorinstanz zumindest kurz die Gründe nennt, von denen sie sich leiten liess und auf die sie ihre Entscheidung gestützt hat. Sie ist nicht verpflichtet, zu allen Gründen der Parteien Stellung zu nehmen, und kann sich daher auf die für die Entscheidung wesentlichen Punkte beschränken (BGE 143 III 65 E. 5.2, 142 II 243 E. 3.1 m. H., 142 II 154 E. 4.2, 138 I 232 E. 5.1, 137 II 266 E. 3.2, 136 I 229 E. 5.2; Urteil des BVGer B-4920/2015 vom 2. Februar 2017 E. 6.1).

3.5 Die Rüge der Beschwerdeführerin, die Vorinstanz habe ihren Entscheid nicht rechtsgenüglich begründet, weil sie gemäss Rechtsprechung verpflichtet gewesen wäre, für jeden einzelnen, angeblich durch Unterlassung begangenen Verstoss gegen Aufsichtsrecht aufzuzeigen, aus welcher aufsichtsrechtlichen Bestimmung sich die behauptete Handlungspflicht ergibt und inwiefern die Bank konkret welche spezifischen Handlungspflichten nicht erfüllt haben soll, betrifft nicht die in formeller Hinsicht erforderliche Begründungsdichte, sondern ist materieller Art. Diese Frage wird daher im Rahmen der materiellen Prüfung zu thematisieren sein. Dasselbe gilt bezüglich der Rüge, die verfügten Massnahmen seien ungenügend begründet.

3.6 Die Rüge einer Verletzung ihres Anspruchs auf rechtliches Gehör erweist sich daher als unbegründet.

4. Die Vorinstanz wirft der Beschwerdeführerin Verstösse gegen die Sorgfaltspflichten im Bereich der Geldwäschereibekämpfung vor, namentlich eine anhaltend fehlende Verifizierung der von den Kunden erhaltenen Informationen bei der Eröffnung der Geschäftsbeziehungen, eine unzureichende Risikokategorisierung (Dual-Use-Güter, komplexe Strukturen) sowie eine wiederholt mangelhafte Transaktionsüberwachung und Dokumentation. Sie führt aus, die mit den betreffenden Geschäftsbeziehungen erwirtschafteten Erträge habe die Beschwerdeführerin nur erzeugen können, indem sie seit der Eröffnung GwG-Sorgfaltspflichten verletzt habe. Die Vorinstanz verfügte daher in der angefochtenen Verfügung eine Einziehung des gesamten erzielten Gewinns auf den betreffenden Konten, unter Berücksichtigung der Verjährungsfrist ab Juni 2017 und bis Ende 2022.

4.1 Die FINMA kann den Gewinn einziehen, den eine Beaufsichtigte oder eine verantwortliche Person in leitender Stellung durch schwere Verletzung aufsichtsrechtlicher Bestimmungen erzielt hat (Art. 35 Abs. 1 FINMAG). Das Recht zur Einziehung verjährt nach sieben Jahren (Art. 35 Abs. 4 FINMAG).

4.2 Das seit 1. April 1998 in Kraft stehende Geldwäschereigesetz dient namentlich der Bekämpfung der Geldwäscherei (Art. 305bis StGB) und der Sicherstellung der Sorgfalt bei Finanzgeschäften (vgl. Art. 1 GwG). In Ergänzung zu den strafrechtlichen Bestimmungen soll das Geldwäschereigesetz verhindern, dass Gelder verbrecherischen Ursprungs in den ordentlichen Geldkreislauf gelangen, und helfen, die für die Geldwäscherei verantwortlichen Personen zu ermitteln und strafrechtlich zu belangen (Botschaft vom 17. Juni 1996 zum Bundesgesetz zur Bekämpfung der Geldwäscherei im Finanzsektor [im Folgenden: Botschaft GwG], BBl 1996 III 1101, 1102 und 1116). Das Geldwäschereigesetz leistet mit seinen Sorgfalts- und Verhaltenspflichten einen eigenständigen Beitrag zur Bekämpfung der Geldwäscherei und dient darüber hinaus der Deliktsprävention, der Risikoverminderung für die Finanzintermediäre und schliesslich der Aufrechterhaltung des Ansehens des Finanzplatzes Schweiz (Botschaft vom 15. Juni 2007 zur Umsetzung der revidierten Empfehlungen der Groupe d'action financière [GAFI], BBl 2007 6269, 6276; Ralph Wyss, in: Thelesklaf/Wyss/van Thiel/Ordolli [Hrsg.], GwG Kommentar, 3. Aufl. 2019, Art. 1 N. 2).

Der Finanzintermediär hat den Vertragspartner zu identifizieren (vgl. Art. 3 GwG i.V.m. Art. 2 Abs. 2 Bst. a GwG und Art. 1a BankG) und den wirtschaftlich Berechtigten festzustellen (vgl. Art. 4 GwG). Weiter hat er die wirtschaftlichen Hintergründe und den Zweck einer Transaktion oder einer Geschäftsbeziehung abzuklären, wenn diese ungewöhnlich erscheinen und ihre Rechtmässigkeit nicht erkennbar ist (vgl. Art. 6 Abs. 2 Bst. a GwG) oder Anhaltspunkte vorliegen, dass Vermögenswerte aus einem Verbrechen herrühren (vgl. Art. 6 Abs. 2 Bst. b GwG). Art. 6 Abs. 2 Bst. b GwG stellt dabei keinen zusätzlichen Tatbestand dar, sondern bedeute lediglich die spezielle Hervorhebung von besonders ungewöhnlichen Geschäften im Sinne von Art. 6 Abs. 2 Bst. a GwG (vgl. Werner de Capitani, in: Kommentar, Einziehung, Organisiertes Verbrechen, Geldwäscherei, Band II, 2002, Art. 6 N. 5, 144). Als Anhaltspunkte im Sinne von Art. 6 Abs. 2 Bst. b GwG haben bereits schwache Verdachtsmomente zu gelten (vgl. de Capitani, a.a.O., Art. 6, N. 156 ff.; Michael Reinle, Die Meldepflicht im Geldwäschereigesetz, 2007, N. 422; Christoph K. Graber, in: Graber/Oberholzer, Das neue GwG, 3. Aufl. 2009, Art. 6 N. 8).

Der Umfang und die Tiefe der durchzuführenden Abklärungen, einschliesslich die Anforderungen an die Dokumentation, bestimmen sich nach dem Risiko, das der Vertragspartner beziehungsweise Kunde in Bezug auf verbrecherische Vortaten und Geldwäscherei darstellt (Detlev Michael Basse, in: Kunz/Jutzi/Schären [Hrsg.], Geldwäschereigesetz [GwG], 2017, Art. 6 N. 12). Die Geldwäschereiverordnung-FINMA, die sich mit den materiellen Sorgfaltspflichten befasst (vgl. Art. 17 Abs. 1 GwG), spricht von "Transaktionen mit erhöhten Risiken" (Art. 14 GwV-FINMA resp. Art. 13 aGwV-FINMA) oder "Geschäftsbeziehungen mit erhöhten Risiken" (Art. 13 GwV-FINMA resp. Art. 12 aGwV-FINMA). Geschäftsbeziehungen mit politisch exponierten Personen gelten in jedem Fall als Geschäftsbeziehungen mit erhöhtem Risiko (vgl. Art. 13 Abs. 3 Bst. a GwV-FINMA und Art. 6 Abs. 3 GwG resp. Art. 12 Abs. 3 aGwV-FINMA). Gleiches gilt für Geschäftsbeziehungen mit Personen, die solchen Personen nahestehen (Art. 13 Abs. 3 Bst. b GwV-FINMA). Im Falle einer Geschäftsbeziehung mit erhöhtem Risiko muss der Finanzintermediär die wirtschaftlichen Hintergründe und den Zweck einer Transaktion oder Geschäftsbeziehung abklären (Art. 6 Abs. 2 Bst. c GwG) und mit angemessenem Aufwand zusätzliche Abklärungen treffen (Art. 15 GwV-FINMA resp. Art. 14 aGwV-FINMA oder Art. 17 GwV-FINMA 1).

Die begriffliche Kumulation von wirtschaftlichem Hintergrund und Zweck in Art. 6 Abs. 2 GwG bezweckt, dass der Finanzintermediär die Geschäftsbeziehung oder Transaktion letztlich versteht und somit ihre Bedeutung im Lichte der Sorgfaltspflichten und der Geldwäschereibekämpfung erkennen kann (Wyss, a.a.O., Art. 6 N. 22).

Ferner muss der Finanzintermediär Belege über die getätigten Transaktionen und über die nach diesem Gesetz erforderlichen Abklärungen so erstellen, dass fachkundige Dritte sich ein zuverlässiges Urteil über die Transaktionen und Geschäftsbeziehungen sowie über die Einhaltung der Bestimmungen dieses Gesetzes bilden können (vgl. Art. 7 Abs. 1 GwG). Eine Dokumentationspflicht besteht bei erkennbarer Rechtmässigkeit nach dem Wortlaut von Art. 7 GwG nicht. Die Rechtmässigkeit muss aber so deutlich erkennbar sein, dass im Zeitpunkt der Beurteilung eine zusätzliche Abklärung als offensichtlich sinnlos erscheinen muss. Gefordert ist eine Plausibilitätsprüfung (Wyss, a.a.O., Art. 6 N. 29 f.).

In engem Zusammenhang mit der Abklärungspflicht nach Art. 6 Abs. 2 Bst. b GwG steht die Meldepflicht des Finanzintermediärs gemäss Art. 9 GwG. Der Finanzintermediär muss der Meldestelle für Geldwäscherei MROS nach Art. 23 GwG unverzüglich Meldung erstatten, wenn er weiss oder den begründeten Verdacht hat, dass die in die Geschäftsbeziehung involvierten Vermögenswerte aus einem Verbrechen herrühren (Art. 9 Abs. 1 Bst. a Ziff. 2 GwG). Vermögenswerte, die aus einem Verbrechen "herrühren" sind insbesondere Vermögenswerte, die durch ein Verbrechen erlangt wurden (vgl. de Capitani, a.a.O., Art. 6 N. 152). Als Verbrechen gelten Taten, die mit Freiheitsstrafe von mehr als drei Jahren bedroht sind (Art. 10 Abs. 2 des Schweizerischen Strafgesetzbuches vom 21. Dezember 1937 [StGB, SR 311.0]); vgl. BGE 126 IV 255 E. 3a). Als begründet ist ein Verdacht anzusehen, wenn er auf einem konkreten Hinweis oder mehreren Anhaltspunkten beruht, die auf eine verbrecherische Herkunft der Vermögenswerte hindeuten (vgl. Botschaft GwG, BBl 1996 III 1101, 1130). Im Zweifel ist immer eine Meldung zu erstatten (vgl. de Capitani, a.a.O., Art. 9 N. 43 ff.; Daniel Thelesklaf, in: Thelesklaf/Wyss/van Thiel/Ordolli [Hrsg.], GwG Kommentar 2019, Art. 9 N. 9 f.). Dass die Vermögenswerte auch effektiv aus einem Verbrechen herrühren, wird nicht vorausgesetzt (vgl. Urteil des BVGer B-488/2018 vom 17. Januar 2019 E. 4.5.4). Anhaltspunkte für Verdachtsgründe nach Art. 9 GwG können sich unter anderem aus bankexternen Hinweisen ergeben, insbesondere aus vertrauenswürdigen, seriös recherchierten Medienberichten (Urteil des BGer 1B_433/2017 vom 21. März 2018 E. 4.9; vgl. Thelesklaf, a.a.O., Art. 9 N. 10; Roland Luchsinger, in: Kunz/Jutzi/Schären [Hrsg.], Geldwäschereigesetz [GwG], 2017, Art. 9 N. 29; Michael Reinle, Die Meldepflicht im Geldwäschereigesetz, St. Galler Schriften zum Finanzmarktrecht Bd. 1, 2007, S. 119). Laut Rechtsprechung löst bereits ein "simple doute" grundsätzlich eine Meldepflicht aus. Die verbrecherische Vortat muss nicht mit grosser Wahrscheinlichkeit vorliegen. Im Zweifel hat eine Verdachtsmeldung zu erfolgen (Urteil des BGer 4A_313/2008 vom 27. November 2008 E. 4.2.2.3; vgl. de Capitani, a.a.O., Art. 9 N. 40-45). Wenn im Rahmen von Hintergrundabklärungen nach Art. 6 Abs. 2 GwG der Verdacht nicht ausgeräumt werden kann, so gilt er ohne weiteres als begründet (Urteil des BGer 1B_433/2017 vom 21. März 2018 E. 4.9 m.H.).

4.3 Die Vorinstanz wirft der Bank eine ungenügende Erfassung und Überwachung der von ihr als " A._______-Geschäftsbeziehungen" bezeichneten Geschäftsbeziehungen vor. Die Informationen zum Hintergrund dieser Geschäftsbeziehungen, namentlich die Herkunft und der Ursprung der eingebrachten Vermögenswerte, seien teilweise rudimentär und nicht mit aussagekräftigen Drittbelegen dokumentiert worden. Insbesondere seien Transaktionen im Zusammenhang mit Import- und Exportgeschäften lediglich mit Rechnungskopien oder Vertragsdokumenten belegt, aus welchen weder die Spezifikation der gehandelten Güter noch deren effektive Lieferung ersichtlich gewesen seien. Die Untersuchungsbeauftragte habe bei den Stichproben zudem Geschäftsbeziehungen festgestellt, bei welchen sie die Rechts- und Reputationsrisiken als hoch eingeschätzt habe. Diese Geschäftsbeziehungen beträfen namentlich solche mit wirtschaftlich Berechtigten aus dem Umfeld der politischen und wirtschaftlichen Elite Russlands. Die Beschwerdeführerin habe insbesondere die Informationen betreffend die frühere Tätigkeit von A._______ für den KGB, welche spätestens ab dem Zeitpunkt der Eröffnung der Geschäftsbeziehung mit der B._______ AG im Februar 2009 vorgelegen seien, nie hinterfragt. Dies trotz dem Hintergrund, dass es sich bei den durch die Gesellschaften von A._______ nach Russland exportierten Gütern unter anderem um solche mit Dual-Use Charakter gehandelt habe. Damit hätten ernstzunehmende Hinweise bestanden, dass die Gesellschaften im Umfeld von Waffenhandel und somit in einer Risikobranche tätig gewesen seien bzw. es noch seien. Somit sei gemäss den internen Weisungen Compliance für die Bereitstellung der Entscheidungsgrundlagen und das für den Geschäftsbereich zuständige Geschäftsleitungsmitglied für den Entscheid über die Eröffnung der Geschäftsbeziehungen zuständig gewesen. Es sei gemäss der Dokumentation jedoch keine besondere Prüfung durch Compliance erfolgt und über die Eröffnung der Geschäftsbeziehungen habe kein Mitglied der Geschäftsleitung entschieden. Die Beschwerdeführerin habe die Geschäftstätigkeit von A._______ und seinen Gesellschaften auch dann nicht hinterfragt, nachdem einem Zahlungseingang vom 3. April 2009 auf das Konto der B._______ AG eine Genehmigung zur Ausfuhr von Dual-Use-Gütern des deutschen Bundesamtes für Wirtschaft und Ausfuhrkontrolle beigelegt worden sei. Aus einem Dokument zu dieser Transaktion sei zudem hervorgegangen, dass die C._______ unter anderem über eine Lizenz des russischen Inlandgeheimdienstes für die Arbeit mit Staatsgeheimnissen und Spezialausrüstung sowie über eine Lizenz der russischen "Federal Agency on Technological Regulating an Metrology" verfüge. Auch bei späteren Eröffnungen von weiteren "A._______-Geschäftsbeziehungen" seien die wirtschaftliche Herkunft der Vermögenswerte sowie die Tätigkeiten der Gesellschaften nicht bzw. nicht genügend abgeklärt worden. Dies zeige sich insbesondere in der "Wiedereröffnung" der Geschäftsbeziehung mit der C._______ GmbH, welche gemäss dem für die Geschäftsbeziehung zuständigen Kundenberater ein rein geschäftspolitischer Entscheid gewesen sei und bezüglich der in der Folge vertiefte Abklärungen ausgeblieben seien. Die Beschwerdeführerin hätte unter den vorliegenden Umständen die A._______-Geschäftsbeziehungen nicht eröffnen bzw. weiterführen dürfen, sondern hätte zuerst ihre GwG-Sorgfaltspflichten erfüllen müssen. Die Vorinstanz beanstandet weiter eine mangelhafte Abklärung von Transaktionen mit erhöhten Risiken (TmeR) und eine Verletzung der Dokumentationspflicht. Der Bank habe bereits die Basis für eine angemessene Transaktionsüberwachung gefehlt, da die Kundenprofile mangelhaft und uneinheitlich gewesen seien, das Firmengeflecht von A._______ nicht als komplexe Struktur qualifiziert worden sei sowie aufgrund der bis 2021 geltenden Praxis, dass bankinterne Transaktionen zwischen verschiedenen Konten desselben wirtschaftlich Berechtigten generell keine Warnmeldungen (Anti-Money Laundering Alerts bzw. AML-Alerts) auslösten. In materieller Hinsicht sei die Bearbeitung der AML-Alerts betreffend die A._______-Geschäftsbeziehungen ungenügend gewesen. Die Kundenberater hätten die Übereinstimmung zwischen Transaktionen und Kundenprofil (Know Your Costumer bzw. KYC) nicht sichergestellt bzw. hätten entsprechende Abweichungen erst aufgrund von Rückfragen durch Compliance plausibilisiert. Bei einem Zahlungseingang über USD 2'300'385.- von einer Gesellschaft mit Sitz in Russland auf das Konto der C._______ UK Ltd. am 10. Dezember 2013 sei auf einen Vertrag verwiesen worden, dokumentiert sei dieser jedoch nicht. Aus den hinterlegten Rechnungen betreffend die B._______ AG sei zudem regelmässig nicht hervorgegangen, welche Produkte bzw. Dienstleistungen vergütet worden seien. In der Dokumentation zu einem Zahlungseingang von einer tschechischen Gesellschaft über USD 1'271'957.- auf das Konto der I._______ AG vom 29. Dezember 2010 sei auf eine Rechnung verwiesen worden. Als Beilage finde sich jedoch keine Rechnung, sondern lediglich eine Bestätigung einer Überweisung. Weiter seien dieselben Kauf- und Darlehensverträge teilweise für die Plausibilisierung mehrerer Transaktionen im Jahr 2016 und 2017 verwendet worden, wobei nicht ersichtlich sei, ob es sich jeweils um Teilzahlungen gehandelt habe oder für welchen Zweck die Darlehen aufgenommen worden seien. Verschiedentlich entsprächen Transaktionen nicht dem KYC, was mit den Anforderungen an eine wirksame Transaktionsüberwachung sowie an die entsprechenden Abklärungs- und Dokumentationspflichten nicht vereinbar sei.

Die Beschwerdeführerin hält dem entgegen, dass die betreffenden Geschäftsbeziehungen (A._______, D._______, E._______) alle vor mehr als zehn Jahren eröffnet worden seien, weshalb eine allfällige mangelnde Verifizierung von Kundeninformationen beim Onboarding der Kunden verjährt sei. Die Geschäftsbeziehungen mit der B._______ AG und der C._______ UK Ltd., in deren Zusammenhang für die Transaktion vom 3. April 2009 Dokumente hinterlegt worden seien, die angeblich auf den Handel mit Dual-Use-Güter schliessen liessen, seien in den Jahren 2015 (B._______ AG) und 2016 (C._______ UK Ltd.) saldiert worden. Die Vorfälle seien damit verjährt. Die Vorinstanz nehme Bezug auf den ehemaligen sowjetischen Geheimdienst KGB, der seit 1991 und damit seit mehr als 30 Jahren nicht mehr existiere. Aus keiner Norm oder Richtlinie ergebe sich, dass eine Bank mit solchen Personen keine Geschäftsbeziehungen unterhalten dürfe. Es sei befremdlich, dass die Vorinstanz damit eine Einziehung im Jahr 2024 begründen wolle. Die Untersuchungsbeauftragte habe festgehalten, dass die Beziehungen alle weisungskonform klassifiziert gewesen seien. Weshalb die Vorinstanz das Gegenteil behaupte, begründe sie nicht. Des Weiteren bestreitet die Beschwerdeführerin, dass die bankinterne Bestimmung zu den komplexen Strukturen anwendbar gewesen sei, da jene Voraussetzungen gar nicht gegeben seien. Bloss zwei der Transaktionen seien vor weniger als zehn Jahren abgewickelt worden. Beim Zahlungseingang vom 9. November 2016 über EUR 1'200'000.- von der F._______ Ltd., Malta, auf das Konto von A._______ habe es sich gemäss Zahlungsavis um die Überweisung eines Darlehens gehandelt. Der Darlehensvertrag liege vor. Dem Darlehensvertrag sei zu entnehmen, dass A._______ der Geschäftsführer der F._______ Ltd. gewesen sei, was die Vergabe des Kredits plausibel mache. Die Geschäftsbeziehung mit A._______ sei im Zeitpunkt des Zahlungseingangs keine Geschäftsbeziehung mit erhöhten Risiken (GmeR) gewesen. Die Dokumentation der Transaktion könnte ausführlicher sein, sei aber nicht offensichtlich ungenügend und erst recht keine schwere Verletzung von Aufsichtsrecht. Die F._______ Ltd. sei gemäss einer Medienmitteilung der US-Sanktionsbehörde OFAC vom 31. März 2022 zum seIben Zeitpunkt wie G._______ auf die Sanktionsliste der OFAC aufgenommen worden, wegen des Verdachts, in den betrügerischen Erwerb von Dual-Use-Gütern involviert gewesen zu sein. Der Medienmitteilung der OFAC könnten keine konkreten Informationen entnommen werden. Insbesondere sei unklar, um welche Güter es sich handle, wann sich diese Exporte zugetragen haben sollen und wie die F._______ Ltd. involviert gewesen sein soll. Zudem behaupte auch die FINMA nicht, dass im Zeitpunkt der Transaktion im November 2016, gut sechs Jahre vor der Sanktionierung, irgendwelche Hinweise auf einen verbotenen HandeI mit Dual-Use-Gütern bestanden hätte. Diese Zahlung sei vor mehr als sieben Jahren vor der FINMA-Verfügung abgewickelt worden und sei damit verjährt. Allfällige Mängel könnten deshalb eine Enforcement-Verfügung im Jahr 2024 nicht mehr rechtfertigen. Die zweite kritisierte Transaktion betreffe ebenfalls das Konto lautend auf A._______. Es handle sich um einen Zahlungseingang von EUR 500'000 vom 2. August 2017, der ebenfalls von F._______ Ltd. stamme. Gemäss Zahlungsavis habe es sich auch hier um eine weitere Tranche eines Darlehens gehandelt. Grundlage sei jener Darlehensvertrag, der bereits Grundlage der Transaktion vom 9. November 2016 gewesen sei. Auch in diesem Fall könnte die Dokumentation ausführlicher sein, sie sei aber nicht offensichtlich ungenügend. Die Geschäftsbeziehung sei auch zu diesem Zeitpunkt keine GmeR gewesen und es hätten zum damaligen Zeitpunkt keine Hinweise auf eine Involvierung der F._______ Ltd. in verbotenen Handel mit Dual-Use-Gütern vorgelegen. Bis zum heutigen Zeitpunkt gebe es keine Hinweise, dass die Beziehungen von A._______ bei der Bank zu irgendeinem Zeitpunkt in solche Geschäfte verwickelt gewesen seien. In den massgeblichen letzten sieben Jahren sei nur eine einzige Transaktion mit erhöhtem Risiko (TmeR) - nämlich jene über EUR 500'000 - im Kontext von A._______ abgewickelt worden, die aber keine wesentlichen regulatorischen Mängel aufweise. Die Dokumentation dieser Zahlung sei im Rahmen des Vertretbaren. Namentlich wenn der nicht sehr hohe Betrag dieser Zahlung berücksichtigt werde, sowie der Umstand, dass die Zahlung im August 2017 abgewickelt worden sei - und damit kurz vor Eintritt der Verjährung. Die Umstände dieser isolierten Zahlung und ihrer Dokumentation genügten damit nicht für die Feststellung einer schweren Verletzung von Aufsichtsrecht.

4.4 Eine Gewinneinziehung gemäss Art. 35 Abs. 1 FINMAG setzt eine "schwere Verletzung aufsichtsrechtlicher Bestimmungen" voraus.

Die gleiche Voraussetzung nennt das Gesetz auch für das Berufsverbot gestützt auf Art. 33 FINMAG. Gemäss der Rechtsprechung zu dieser Sanktion ist die Voraussetzung einer "schweren Verletzung aufsichtsrechtlicher Bestimmungen" ein unbestimmter Rechtsbegriff, dessen Auslegung und Anwendung das Gericht grundsätzlich frei überprüft (Urteil des BGer 2C_192/2019 vom 11. März 2019 E. 5.1). Gemäss dieser Rechtsprechung kommt bei dieser Auslegung dem Legalitätsprinzip und dem daraus fliessenden Gebot der Voraussehbarkeit staatlichen Handelns eine zentrale Bedeutung zu. An die Klarheit und Bestimmtheit der im konkreten Fall verletzten Bestimmungen und der sich aus diesen ergebenden Pflichten für die Beaufsichtigten sind daher hohe Anforderungen zu stellen, damit die Massnahme oder Sanktion für die potentiell dadurch betroffenen Personen voraussehbar ist (vgl. auch BGE 142 II 243 E. 3.1; Urteil des BGer 2C_163/2014 vom 15. Januar 2015 E. 3.3; BVGE 2018 IV/4 E. 3.4.3). Wie bereits die gesetzliche Formulierung "schwere Verletzung aufsichtsrechtlicher Bestimmungen" ("violation grave du droit de la surveillance", "grave violazione delle disposizioni legali in materia di vigilanza") klar zum Ausdruck bringt, muss es sich dabei um rechtliche Bestimmungen handeln, also um Anordnungen in einem Gesetz im formellen Sinn oder in einer Verordnung aus dem Bereich der Finanzmarktaufsicht. Mit der Voraussetzung der schweren Verletzung aufsichtsrechtlicher Bestimmungen verankerte der Gesetzgeber den Grundsatz der Verhältnismässigkeit und das Opportunitätsprinzip. Verletzungen aufsichtsrechtlicher Bestimmungen von marginaler Bedeutung sollten nicht mit spezifischen aufsichtsrechtlichen Massnahmen sanktioniert werden können (Urteile des BGer 2C_192/2019 E. 4.5 und 2C_571/2018 vom 30. April 2019 E. 5.3.2). Aufgrund der gleichen Voraussetzung im Gesetz geht die Rechtsprechung davon aus, dass diese zum Berufsverbot entwickelten Grundsätze auch für die Einziehung gestützt auf Art. 35 FINMAG Geltung haben (Urteil des BVGer B-1576/2019 vom 29. November 2021 E. 9.4).

Rein bankinterne Weisungen sind keine rechtlichen Bestimmungen im vorerwähnten Sinn; ihnen geht dieser öffentlich-rechtliche Normcharakter ab. Auch wäre es aus der Perspektive der Rechtsgleichheit stossend, wenn die Aufsichtsbehörde an Angestellte einer Bank mit strengen internen Regeln höhere Anforderungen stellen würde als an Angestellte einer anderen Bank mit lascheren internen Regeln. Dass ein Verhalten gegen bankinterne Weisungen oder Anordnungen verstösst, stellt daher an sich noch keine schwere Verletzung von Aufsichtsrecht dar (Urteil des BVGer B-1576/2019 vom 29. November 2021 E. 9.4).

Soweit die Vorinstanz der Beschwerdeführerin vorwirft, sie habe ihre eigenen bankinternen Regelungen (Group Compliance Manual) nicht eingehalten, sind diese Vorwürfe daher nicht geeignet, eine Gewinneinziehung zu begründen, weshalb darauf in diesem Zusammenhang nicht weiter einzugehen ist. In gleicher Weise ist auf der anderen Seite die Argumentation der Beschwerdeführerin unbehelflich, soweit diese aus ihrer eigenen, aufgrund ihrer eigenen internen Regelungen vorgenommenen Qualifikation der in Frage stehenden Geschäftsbeziehungen als Geschäftsbeziehungen ohne erhöhtes Risiko etwas für sich ableiten will.

4.5 Aufgrund des klaren Wortlauts des Gesetzes und der ständigen Rechtsprechung kann ein Gewinn nur eingezogen werden, wenn er kausal aus der schweren Verletzung der aufsichtsrechtlichen Bestimmungen hervorgegangen ist (vgl. Urteile des BGer 2C_422/2018 vom 20. März 2019 E. 2.4 und 2C_739/2015 vom 25. April 2016 E. 2.2; BVGE 2013/59 E. 9.3.5; Urteile des BVGer B-480/2022 vom 22. Mai 2025 E. 14.4, B-664/2020 vom 4. Juli 2022 E. 6.4, B-1576/2019 vom 29. November 2021 E. 9.12, B-5668/2017 vom 28. April 2020 E. 9.1, B-3930/2016 vom 25. November 2019 7.2.3, B-1034/2017 vom 11. Dezember 2019 E. 2, B-4763/2017 vom 29. Juni 2018 E. 13.5).

Im vorliegenden Fall will die Vorinstanz den gesamten Gewinn, den die Beschwerdeführerin in der Zeit von Juni 2017 bis Ende 2022 mit sämtlichen " A._______-Geschäftsbeziehungen" erwirtschaftet hat, einziehen. Sie trägt daher nicht nur die Beweislast für die der Beschwerdeführerin vorgeworfenen schweren Verletzungen von aufsichtsrechtlichen Bestimmungen, sondern auch für den Kausalzusammenhang zwischen diesen Verletzungen und dem mit den Geschäftsbeziehungen in der Zeit von Juni 2017 bis Ende 2022 erzielten Gewinn. Die Vorinstanz hat daher nicht nur den Nachweis für die der Beschwerdeführerin vorgeworfenen schweren Verletzungen von Aufsichtsrecht zu erbringen, sondern auch dafür, dass mit dem für eine adäquate Kausalität erforderlichen Grad von Wahrscheinlichkeit davon ausgegangen werden kann, dass die Beschwerdeführerin bei rechtskonformem Verhalten die in Frage stehenden Geschäftsbeziehungen bis Juni 2017 abgebrochen oder gar nie eröffnet hätte.

4.6 Das Recht zur Einziehung verjährt nach sieben Jahren (Art. 35 Abs. 4 FINMAG, hievor E. 4.1).

Die Parteien haben unterschiedliche Vorstellungen bezüglich der Frage, wann diese Verjährungsfrist beginnt. Die Vorinstanz knüpft an der Entstehung des Gewinns an, während die Beschwerdeführerin den Zeitpunkt der Verletzung von Aufsichtsrecht als massgeblich erachtet.

Das Gesetz ist in erster Linie nach seinem Wortlaut auszulegen. Ist der Text nicht ganz klar und sind verschiedene Auslegungen möglich, so muss der Richter unter Berücksichtigung aller Auslegungselemente nach der wahren Tragweite der Norm suchen. Dabei hat er insbesondere den Willen des Gesetzgebers zu berücksichtigen, wie er sich namentlich aus den Gesetzesmaterialien ergibt (historische Auslegung). Weiter hat der Richter nach dem Zweck, dem Sinn und den dem Text zu Grunde liegenden Wertungen zu forschen, namentlich nach dem durch die Norm geschützten Interesse (teleologische Auslegung). Wichtig ist auch der Sinn, der einer Norm im Kontext zukommt, und das Verhältnis, in welchem sie zu anderen Gesetzesvorschriften steht (systematische Auslegung). Das Bundesgericht befolgt bei der Auslegung von Gesetzesnormen einen pragmatischen Methodenpluralismus und lehnt es ab, die einzelnen Auslegungselemente einer Prioritätsordnung zu unterstellen (BGE 145 III 324 E. 6.6; 144 III 29 E. 4.4.1).

Der Wortlaut von Art. 35 Abs. 4 FINMAG selbst äussert sich nicht dazu, ob die Verjährungsfrist an der schweren Verletzung von Aufsichtsrecht anknüpft oder am Zeitpunkt der Entstehung des Gewinns. In der Botschaft wird zu dieser Frage präzisiert: "Das Recht zur Einziehung verjährt sieben Jahre nach Verletzung der aufsichtsrechtlichen Bestimmungen" (Botschaft des Bundesrates zum Bundesgesetz über die Eidgenössische Finanzmarktaufsicht [Finanzmarktaufsichtsgesetz; FINMAG] vom 1. Februar 2006, BBl 2006 2829 ff., 2883). Im bisher einzigen Urteil des Bundesverwaltungsgerichts zu dieser Frage entschied das Gericht, dass für den Beginn der Verjährungsfrist der Zeitpunkt der Verletzung aufsichtsrechtlicher Bestimmungen massgebend ist (vgl. Urteil des BVGer B-664/2020 vom 4. Juli 2022 E. 6.7.3 ff.). Auch in der Literatur wird die Auffassung vertreten, dass für den Beginn der Verjährungsfrist der Zeitpunkt der (schweren) Verletzung aufsichtsrechtlicher Bestimmungen massgeblich sei, und nicht der Zeitpunkt der Gewinnrealisierung (Bösch, a.a.O., Art. 35 N. 30; Christoph Kuhn, XIV. Massnahmen der FINMA, in: Zulauf/Wyss [Hrsg.], Finanzmarktenforcement, 3. Aufl. 2022, S. 391; Raoul Sidler, Die Einziehung nach Art. 35 FINMAG, 2009, S. 30). In systematischer Hinsicht ist einerseits zu berücksichtigen, dass auch die Verjährungsfrist für eine strafrechtliche Einziehung im Tatzeitpunkt des Delikts beginnt (Urteil des BGer 6B_887/2016, 6B_888/2016, 6B_891/2016 vom 6. Oktober 2016, E. 4.4.2 m.w.H.). Auch kann die bundesgerichtliche Rechtsprechung zu Verwaltungssanktionen in anderen Rechtsgebieten herangezogen werden: So verwies das Bundesgericht etwa in einem Fall aus dem Spielbankenrecht auf Art. 49a Abs. 3 Bst. b des Bundesgesetzes vom 6. Oktober 1995 über Kartelle und andere Wettbewerbsbeschränkungen (Kartellgesetz [KG, SR 251]), wonach die Sanktionsmöglichkeit entfällt, wenn die Wettbewerbsbeschränkung bei Eröffnung der Untersuchung länger als fünf Jahre nicht mehr ausgeübt worden ist, und ging in der Folge in analoger Weise davon aus, dass auch im Spielbankenrecht die Sanktion verjährt ist, wenn das zu sanktionierende Verhalten bei Eröffnung der Untersuchung seit länger als fünf Jahren beendet war (vgl. BGE 140 II 384 E. 4.2 f.). In teleologischer Hinsicht ist zu berücksichtigen, dass auch die Gewinneinziehung gestützt auf Art. 35 FINMAG eine Verwaltungssanktion, wenn auch nicht mit pönalem Charakter, darstellt. Das zu sanktionierende Element dabei ist die schwere Verletzung der aufsichtsrechtlichen Bestimmungen, und nicht, dass daraus ein Gewinn entstanden ist. Es macht daher mehr Sinn, wenn auch für den Beginn der Verjährungsfrist an der Pflichtverletzung, und nicht am Zeitpunkt der Entstehung des Gewinns angeknüpft wird.

Art. 35 Abs. 4 FINMAG ist daher so auszulegen, dass das Recht zur Einziehung sieben Jahre nach Verletzung der aufsichtsrechtlichen Bestimmungen verjährt.

Bei der Verletzung von Sorgfaltspflichten durch Unterlassen knüpft der Beginn der Verjährungsfrist an den Zeitpunkt, in dem die aufsichtsrechtlich gebotene Handlung unterlassen wurde. Die beispielsweise im Hinblick auf eine Transaktion allenfalls erforderlichen Abklärungen und die Dokumentation der Abklärungsresultate müssen vor der Ausführung der Transaktion oder unverzüglich nachher getätigt werden. Bei der Verletzung von Sorgfaltspflichten durch Unterlassen der erforderlichen Abklärungen im Hinblick auf eine Transaktion beginnt die Verjährungsfrist von Art. 35 Abs. 4 FINMAG daher in der Regel am Ende dieser Phase, in der die Abklärung hätte vorgenommen werden müssen. Allerdings muss bezüglich der Frage, welches der relevante Zeitpunkt bei der Verletzung einer sich aus dem Geldwäschereigesetz ergebenden Sorgfaltspflicht ist, unterschieden werden zwischen Sorgfaltspflichten, die an einen zeitlich bestimmten Anlass geknüpft sind, und Dauerpflichten, welche während der ganzen Geschäftsbeziehung bestehen. So ist insbesondere die Pflicht zur Identifizierung der Vertragspartei eine Dauerpflicht, welche von der Aufnahme der Geschäftsbeziehung bis zu ihrer Beendigung andauert, da das Gesetz ausdrücklich verlangt, dass die Identifizierung wiederholt werden muss, sobald Zweifel entstehen (vgl. Art. 5 Abs. 1 GwG). Die Führung einer Geschäftsbeziehung unter Verletzung dieser Identifizierungspflicht stellt insofern in strafrechtlicher Hinsicht ein Dauerdelikt dar, so dass die strafrechtliche Verjährungsfrist erst am Tag der Beendigung der Geschäftsbeziehung zu laufen beginnt (BGE 134 IV 307 E. 2.4). Damit vergleichbar ist die Pflicht, Abklärungen zum Hintergrund einer ungewöhnlich erscheinenden Geschäftsbeziehung zu tätigen (vgl. Art. 6 Abs. 2 Bst. a GwG; Doris Hutzler, in: Ackermann [Hrsg.], Kommentar Kriminelles Vermögen - Kriminelle Organisationen, Bd. II, 2018, Art. 6 GwG N. 37). Auch diese Pflicht ist an die Geschäftsbeziehung als Ganze geknüpft. In ähnlicher Weise gilt eine Unterlassung der Meldepflicht grundsätzlich als Dauerdelikt, denn die Meldepflicht kann sogar über die Beendigung der Geschäftsbeziehung fortdauern (vgl. BGE 142 IV 276 E. 5.4). Liegen konkrete Anhaltspunkte auf eine GwG-Vortat vor und unterlässt die Bank die Meldung an die MROS, so beginnt die Verjährungsfrist von Art. 35 Abs. 4 FINMAG daher nicht zu laufen, bevor nicht die Meldung erstattet ist oder die Strafbehörden auf andere Weise im Besitz der vollständigen Informationen sind.

Die Frage, ob lediglich eine schwere Verletzung von Sorgfaltspflichten durch Unterlassen der erforderlichen Abklärungen im Kontext einer Transaktion vorlag oder ob es sich um eine Verletzung einer Dauerpflicht handelt, ist daher entscheidend für den Beginn der Verjährungsfrist.

4.7 Die Vorinstanz hat für die Einziehung die folgenden Geschäftsbeziehungen berücksichtigt: A._______, G._______ (im Folgenden: G._______), D._______ und [...] (im Folgenden: D._______), E._______ (im Folgenden: E._______), C._______ GmbH (zwei Geschäftsbeziehungen) und H._______ Inc. (im Folgenden auch: H._______ Inc.).

Soweit sie die Einhaltung der Geldwäschereibestimmungen in Bezug auf andere Geschäftsbeziehungen beanstandet, haben diese Beanstandungen keine Relevanz in Bezug auf die angefochtene Einziehung, weshalb diesen Vorwürfen nicht weiter nachzugehen ist.

4.8 Die Vorinstanz wirft der Bank eine ungenügende Erfassung und Überwachung der von ihr als "A._______-Geschäftsbeziehungen" bezeichneten Geschäftsbeziehungen vor. Sie vertritt die Auffassung, dass es sich bei all diesen "A._______"-Geschäftsbeziehungen um Geschäftsbeziehungen mit erhöhten Risiken (GmeR) handle, für welche erhöhte Abklärungs- und Dokumentationspflichten gelten. Die Informationen zum Hintergrund dieser Geschäftsbeziehungen, namentlich die Herkunft und der Ursprung der eingebrachten Vermögenswerte, seien teilweise rudimentär und nicht mit aussagekräftigen Drittbelegen dokumentiert worden. Die Beschwerdeführerin habe insbesondere die Informationen betreffend die frühere Tätigkeit von A._______ für den KGB, welche spätestens ab dem Zeitpunkt der Eröffnung der Geschäftsbeziehung mit der B._______ AG im Februar 2009 vorgelegen seien, nie hinterfragt. Dies trotz dem Hintergrund, dass es sich bei den durch die Gesellschaften von A._______ nach Russland exportierten Gütern u.a. um solche mit Dual-Use Charakter gehandelt habe. Damit hätten ernstzunehmende Hinweise bestanden, dass die Gesellschaften im Umfeld von Waffenhandel und somit in einer Risikobranche tätig gewesen seien bzw. es noch seien. Auch bei späteren Eröffnungen von weiteren "A._______-Geschäftsbeziehungen", seien die wirtschaftliche Herkunft der Vermögenswerte sowie die Tätigkeiten der Gesellschaften nicht bzw. nicht genügend abgeklärt worden. Die Beschwerdeführerin hätte unter den vorliegenden Umständen die A._______-Geschäftsbeziehungen nicht eröffnen bzw. weiterführen dürfen, sondern hätte zuerst ihre GwG-Sorgfaltspflichten erfüllen müssen.

4.8.1 Die Geschäftsbeziehung mit A._______ wurde am 17. Januar 2009 eröffnet und am 26. Juni 2020 saldiert. A._______ war vorher bereits Kunde bei der Y._______ und dort wirtschaftlich Berechtigter mehrerer geschäftlicher und privater Konten. Auch bei der Beschwerdeführerin eröffnete er nicht nur private Konten, sondern er war auch als wirtschaftlich Berechtigter an mehreren Konten von juristischen Personen registriert, namentlich an den Konten der C._______ UK Ltd. (UK), der C._______ GmbH (D), der B._______ AG (CH), der I._______ AG (CH) sowie der J._______ (F). Es trifft zwar zu, wie die Vorinstanz ausführt, dass die Dokumentation des Kundenprofils (KYC) von A._______ bei den verschiedenen Geschäftsbeziehungen, bei denen er als wirtschaftlich Berechtigter erfasst war, uneinheitlich war. So war in Bezug auf seine persönlichen Konten vermerkt, dass er von seiner Ausbildung her Ingenieur sei und wirtschaftlich Berechtigter auch der C._______ UK Ltd., der C.______ RU, der C._______ GmbH, der B._______ AG und der I._______ AG sei. Fast alle diese Gesellschaften unterhielten Konten bei der Y._______-Gruppe. Gemäss den jeweiligen Auskünften der Gesellschaften selbst, welche im Kundenprofil dokumentiert sind, seien diese Gesellschaften im Handel (Kauf in Europa, USA und Asien) und schlussendlich Import in Russland von Mess- und Kommunikationsinstrumenten tätig. Die eingebrachten Vermögenswerte stammten auch aus der Auszahlung von Dividenden aus der K._______, welche bei der Konzernmutter der Bank ein Konto unterhielt. Im Kundenprofil der B._______ AG war zusätzlich vermerkt, dass A._______ vor der Wende Mitarbeiter im technischen Bereich des KGB gewesen sei und nachher einige Zeit für "Tass" (staatliche Nachrichtenagentur Russlands) gearbeitet habe. Früh nach der Wende habe er seine Auslandsbeziehungen genutzt und selbständig den Bedarf für Russland an technischen Geräten importiert. Bei der russischen Gesellschaft B. [Russland] trete er zwar nicht als Direktor auf, aber er "ziehe die Fäden". A._______ starb im Mai 2020. Seine beiden persönlichen Konten wurden 2013 beziehungsweise 2020 saldiert.

4.8.2 Die Geschäftsbeziehung mit G._______ wurde am 22. November 2016 eröffnet. G._______ war die Ehefrau von A._______. Gemäss Angaben im Kundenprofil war sie in der Filmbranche tätig. Aus einer Medienmitteilung des US-Finanzministeriums vom 31. März 2022 geht hervor, dass zwei in Moskau ansässige Unternehmen (OOO L._______ und OOO M._______) illegal Dual-Use-Ausrüstung und -Technologie für den russischen Verteidigungssektor beschafft hätten. G._______, eine Mitarbeiterin des L._______-Netzwerks, betreibe die in Malta ansässige F._______ Ltd. über ein multinationales Netz von Briefkastenfirmen. F._______ Ltd. habe sich bemüht, im Auftrag russischer Endnutzer auf betrügerische Weise Dual-Use-Güter zu erwerben. Die in Moskau ansässige C._______-Film Co Ltd., bei der G._______ als Direktorin tätig gewesen sei, habe den Export von Ausrüstung durch F._______ Ltd. an vorgesehene staatliche Endnutzer in Russland erleichtert. Gleichentags wurde G._______ auf die Sanktionsliste OFAC SDN List (Specially Designated Nationals and Blocked Persons List) der US-Behörde Office of Foreign Assets Control OFAC gesetzt. Als Folge belegte die Beschwerdeführerin diese Geschäftsbeziehung ab dem 1. April 2022 mit einer umfassenden Transaktionssperre.

4.8.3 Am 25. Februar 2009 eröffnete die kurz zuvor gegründete B._______ AG mit Sitz in Zug ein Konto bei der Bank. Gemäss dem KYC-Profil war die Gesellschaft, wie die C._______ UK Ltd., im Handel mit Mess- und medizinischen Geräten tätig. Die Geräte würden im Westen gekauft und an die B._______ Russland weiterverkauft. Wirtschaftlich berechtigt war A._______. Die Geschäftsbeziehung wurde 2015 saldiert.

4.8.4 Die (zweite) Geschäftsbeziehung mit der C._______ GmbH wurde am 27. März 2020 eröffnet. Wirtschaftlich Berechtigter dieser Gesellschaft war ebenfalls A._______. Gemäss KYC betreibe die Gesellschaft internationalen Grosshandel mit High Tech-Ausrüstungsgütern wie z.B. Messgeräten, Übertragungsgeräten, medizinischen Geräten. Lieferanten der Gesellschaft seien namhafte Hersteller wie z.B. [...]. Kunden (Käufer der Ware) seien primär Hochschulen/Universitäten und Forschungsinstitute in der Gemeinschaft Unabhängiger Staaten GUS. Im zweiten Geschäftsbereich beliefere C._______ GmbH Kunden in den GUS-Ländern mit Ausrüstungsgegenständen zur Filmherstellung. Typische Kunden seien hier [...]. Der Umsatz sei 2018 bei EUR 2.1 Mio. gelegen nach EUR 3.4 Mio. im Vorjahr. Die Bilanz (Bilanzsumme per 31. Dezember 2018 EUR 1.67 Mio.) bestehe wie bei einem typischen Handelsunternehmen primär aus "Cash und Forderungen gegenüber Kunden und von Lieferanten". Die Gesellschaft hatte bereits seit 2014 ein Konto bei der Bank gehabt. Dieses wurde im November 2019 saldiert, gemäss KYC wegen den hohen Gebühren. Die Gelder wurden an die Commerzbank (Deutschland) überführt. Vier Monate später kam die C._______ GmbH zur Beschwerdeführerin zurück.

4.8.5 Unter gewissen Voraussetzungen, die in Art 6 Abs. 2 GwG aufgelistet sind, hat der Finanzintermediär einerseits den Hintergrund und andererseits den Zweck von Transaktionen abzuklären. Das Gesetz nennt etwa folgende Umstände: wenn die Transaktion oder die Geschäftsbeziehung ungewöhnlich erscheinen (Bst. a), wenn Anhaltspunkte vorliegen, dass Vermögenswerte aus strafrechtlich relevanten Taten herrühren (vgl. Bst. b) oder wenn die Transaktion oder die Geschäftsbeziehung mit einem erhöhten Risiko behaftet ist (Bst. c). Aus der Pflicht zum Verständnis der fraglichen Transaktion oder Geschäftsbeziehung ergibt sich auch das Mass der notwendigen Abklärungspflicht. Wird diese ausgelöst, ist sie vom Finanzintermediär mit angemessenem Aufwand so weit und so lange durchzuführen, bis der Finanzintermediär die Transaktion oder die Geschäftsbeziehung (wieder) versteht (Wyss, a.a.O., Art. 6 N. 23).

Zu den Details der Abklärungen, die durch die Konstellationen in Art. 6 Abs. 2 GwG ausgelöst werden, äussert sich das Gesetz nicht. Auf Verordnungsstufe werden aber in der Geldwäschereiverordnung der FINMA exemplarisch diverse Mittel für die vorzunehmenden Abklärungen aufgezählt (vgl. Art. 16 Abs. 1 GwV-FINMA bzw. Art. 15 Abs. 1 aGwV-FINMA). So sind je nach den Umständen schriftliche oder mündliche Auskünfte der Vertragspartei, der Kontrollinhaberin bzw. des Kontrollinhabers oder der an Vermögenswerten wirtschaftlich berechtigten Person einzuholen (Bst. a). Des Weiteren werden Besuche am Ort der Geschäftstätigkeit der beteiligten Personen (Bst. b) und Erkundigungen bei vertrauenswürdigen Personen (Bst. d) als angebracht erachtet. Hinweise auf den verlangten Inhalt der Abklärungen bei erhöhten Risiken gibt sodann die ebenfalls nicht abschliessende Aufzählung in Art. 15 Abs. 2 GwV-FINMA (bzw. Art. 14 Abs. 2 aGwV-FINMA). Demnach ist namentlich abzuklären, ob die Vertragspartei an den eingebrachten Vermögenswerten wirtschaftlich berechtigt ist (Bst. a); die Herkunft der eingebrachten Vermögenswerte (Bst. b); der Verwendungszweck abgezogener Vermögenswerte (Bst. c); die Hintergründe und die Plausibilität grösserer Zahlungseingänge (Bst. d); der Ursprung des Vermögens der Vertragspartei und der am Unternehmen oder an Vermögenswerten wirtschaftlich berechtigten Person (Bst. e) und die berufliche oder geschäftliche Tätigkeit der Vertragspartei und der am Unternehmen oder an Vermögenswerten wirtschaftlich berechtigten Person (Bst. f). Allerdings bleibt zu bedenken, dass diese Liste nicht spezifisch für die Abklärungen nach Art. 6 Abs. 2 GwG konzipiert wurde und je nach den Umständen weitere oder andere Informationen eingeholt werden müssen (Hutzler, a.a.O., Art. 6 GwG N. 62). Gemäss Art. 16 Abs. 2 GwV-FINMA (bzw. Art. 15 Abs. 2 aGwV-FINMA) wird schliesslich verlangt, dass die jeweiligen Ergebnisse auf ihre Plausibilität hin überprüft und dokumentiert werden.

4.8.6 Es ist unbestritten, dass die Beschwerdeführerin ihre Vertragsparteien jederzeit korrekt identifizierte beziehungsweise die wirtschaftlich berechtigte Person korrekt feststellte.

Die Bank hat A._______ und einen Teil der in Frage stehenden Gesellschaften zwar zeitweise als Geschäftsbeziehungen mit erhöhten Risiken (GmeR) im Sinn ihrer eigenen Weisungen eingestuft und entsprechend zusätzliche Abklärungen getätigt. Warum alle diese Geschäftsbeziehungen indessen als GmeR im Sinn der massgeblichen aufsichtsrechtlichen Bestimmungen (vgl. Art. 13 GwV-FINMA; bzw. Art. 12 aGwV-FINMA oder Art. 7 GwV-FINMA 1) einzustufen gewesen wären, hat die Vorinstanz nicht dargetan. So ist unbestritten, dass der Bank keine Hinweise auf eine bedeutende öffentliche Funktion von A._______ oder seiner Frau in einem ausländischen Staat vorlagen. Die GwV-FINMA 1 nannte zwar bereits damals den Wohnsitz oder die Staatsangehörigkeit der Vertragspartei und der wirtschaftlich berechtigten Person als mögliches Kriterium für die Einstufung als GmeR (vgl. Art. 7 Abs. 2 Bst. a GwV-FINMA 1). Erst ab dem 1. Januar 2020 wurde diese Bestimmung indessen genügend konkretisiert, um gegebenenfalls den Vorwurf einer Aufsichtsrechtsverletzung zu begründen (vgl. E. 4.4 hievor). Demnach gelten der Wohnsitz, die Staatsangehörigkeit oder der Ort der Geschäftstätigkeit der Vertragspartei oder der wirtschaftlich berechtigten Person in einem von der Financial Action Task Force (FATF) als "High Risk" oder nicht kooperativ betrachteten Land oder häufige Zahlungsflüsse von oder in ein derartiges Land als Kriterien, welche zu einer Einstufung als GmeR führen (vgl. Art. 13 Abs. 2 Bst. a, b und g i.V.m. Art. 13 Abs. 3 Bst. d GwV-FINMA). Russland steht indessen bisher nicht auf dieser offiziellen Schwarzen Liste der FATF. Zwar wurde Russlands Mitgliedschaft in der FATF im Februar 2023 wegen des Kriegs gegen die Ukraine ausgesetzt, jedoch blockierten Verbündete wie China und Indien eine Aufnahme auf die schwarze Liste. Zumindest die Europäische Union (EU) hat Russland daraufhin aufgrund strategischer Mängel Anfang 2026 als Hochrisikoland in ihre eigene Liste aufgenommen. Im Zeitpunkt der Eröffnung der in Frage stehenden Geschäftsbeziehungen und der Durchführung der von der Vorinstanz kritisierten Transaktionen war die Entwicklung ab 2022 bezüglich der Einstufung als (offizielles) Risikoland noch nicht konkret absehbar. Auch der Export von Dual-Use-Gütern nach Russland wurde erst aufgrund der nach der Annexion der Krim im Jahr 2014 erlassenen EU-Verordnungen eingeschränkt und ab März 2022, zuerst durch die Europäische Union und dann auch durch die Schweiz, fast vollständig untersagt.

Weder die russische Staatsangehörigkeit von A._______ und seiner Ehefrau, noch die angegebene Handelstätigkeit mit Mess- und medizinischen Geräten, die nach Russland verkauft werden sollten, waren daher Umstände, die in der Zeit vor 2022 aufgrund der massgeblichen aufsichtsrechtlichen Bestimmungen zwingend zu einer Qualifizierung der Geschäftsbeziehungen, an denen A._______ wirtschaftlich berechtigt war, als solche mit erhöhtem Risiko (GmeR) hätten führen müssen.

Die Angaben zu A._______ in den verschiedenen KYCs waren zwar nicht wörtlich identisch, aber auch nicht widersprüchlich, und sie waren durchaus plausibel: A._______ war ein Ingenieur, der wirtschaftlich Berechtigter mehrerer Gesellschaften war und technische Ausrüstung im Westen einkaufte und nach Russland verkaufte. A._______s Ehefrau (G._______) war in der Filmbranche tätig und verfügte daher über die nötigen Kontakte, um Filmausrüstung aus dem Westen zu importieren. Die frühere Tätigkeit von A._______ für den russischen Geheimdienst KGB, welche die Vorinstanz offenbar als gewichtiges Verdachtsmoment ansieht, erfolgte noch vor der Wende und war damit bereits rund 18 Jahre vor Eröffnung der Geschäftsbeziehung beendet. Soweit die Vorinstanz darin einen Anhaltspunkt sehen will, aufgrund dessen die Bank die Geschäftsbeziehung zwingend als GmeR einstufen oder trotz den im Übrigen plausiblen Angaben des Kunden den Verdacht hätte haben sollen, dass A._______ immer noch oder erneut für den russischen Geheimdienst tätig sei oder seine Mittel aus einer GwG-Vortat stammen könnten, kann ihr daher nicht gefolgt werden.

Auch die Behauptung der Vorinstanz, das "Firmengeflecht" von A._______ sei eine komplexe Struktur gewesen, was ein erhöhtes Risiko indiziert habe, kann nicht nachvollzogen werden: Abgesehen vom gleichen, der Bank gegenüber offen deklarierten wirtschaftlich Berechtigten wiesen die Gesellschaften weder eine juristische Verflechtung miteinander noch sonst eine komplizierte Struktur auf. Insbesondere handelte es sich weder um verschachtelte Sitzgesellschaften oder um Sitzgesellschaften mit fiduziarischen Aktionären, noch hatten die Gesellschaften ihren Sitz in einer intransparenten Jurisdiktion. Die Vorinstanz zeigt auch nicht auf, dass Transaktionen zwischen den Gesellschaften ohne nachvollziehbaren Grund oder zwecks kurzzeitiger Vermögensplatzierung erfolgt wären (vgl. Art. 13 Abs. 2 Bst. h GwV-FINMA, in der ab 1. Januar 2020 geltenden Fassung).

Als Zwischenergebnis ist daher festzuhalten, dass nicht erstellt ist, dass die Bank aufsichtsrechtlich verpflichtet gewesen wäre, A._______, seine Ehefrau oder seine Gesellschaften als Geschäftsbeziehungen mit erhöhtem Risiko (GmeR) einzustufen und dass daher entsprechend erhöhte Abklärungspflichten bestanden hätten.

4.8.7 Die Vorinstanz wirft der Bank vor, bei der Überprüfung verschiedener Transaktionen habe die Untersuchungsbeauftragte festgestellt, dass die Informationen zum wirtschaftlichen Hintergrund oftmals eher rudimentär gewesen und nicht mit aussagekräftigen Drittbelegen dokumentiert worden seien. Transaktionen im Zusammenhang mit Import- und Exportgeschäften seien lediglich mit Rechnungskopien oder Vertragsdokumenten belegt, aus welchen weder die Spezifikation der gehandelten Güter noch deren effektive Lieferung ersichtlich gewesen seien. Die Zahlungseingänge auf das Konto der B._______ AG seien nicht von der B._______ Russland, sondern von verschiedenen anderen internationalen Gesellschaften erfolgt, was den Angaben im Kundenprofil der B._______ AG widersprochen habe. Insbesondere aber seien genauere Abklärungen unterblieben, als Dokumente hinterlegt worden seien, welche auf den Handel mit Dual-Use-Gütern sowie auf eine allfällige Nähe zum russischen Inlandgeheimdienst FSB und somit zum russischen Staat hingewiesen hätten. Die Beschwerdeführerin habe die Geschäftstätigkeit von A._______ und seinen Gesellschaften auch dann nicht hinterfragt, nachdem einem Zahlungseingang vom 3. April 2009 auf das Konto der B._______ AG eine Genehmigung zur Ausfuhr von Dual-Use-Gütern des deutschen Bundesamtes für Wirtschaft und Ausfuhrkontrolle beigelegt worden sei. Aus einem Dokument zu dieser Transaktion sei zudem hervorgegangen, dass die C._______ GmbH u.a. über eine Lizenz des russischen Inlandgeheimdienstes FSB für die Arbeit mit Staatsgeheimnissen und Spezialausrüstung sowie über eine Lizenz der "Federal Agency on Technological Regulating an Metrology" verfüge. Aus den hinterlegten Rechnungen betreffend die B._______ AG sei zudem regelmässig nicht hervorgegangen, welche Produkte bzw. Dienstleistungen vergütet worden seien.

Wie bereits dargelegt, waren weder die Staatsangehörigkeit des wirtschaftlich Berechtigten noch die angegebene Handelstätigkeit mit Mess- und medizinischen Geräten, die nach Russland verkauft werden sollten, noch die Strukturen der juristischen Personen Umstände, welche die Bank in der Zeit vor dem 31. März 2022 als erhöhte Risiken hätte einstufen müssen (vgl. E. 4.8.6 hievor). Soweit die Vorinstanz daher offenbar grundsätzlich davon ausgeht, die Bank hätte die in Frage stehenden Transaktionen in jener Zeit so sorgfältig abklären müssen, wie das bei Geschäftsbeziehungen oder Transaktionen mit erhöhtem Risiko erforderlich gewesen wäre, kann ihr daher nicht gefolgt werden.

Aktenkundig ist, dass einem Zahlungseingang vom 3. April 2009 auf das Konto der B._______ AG eine Genehmigung zur Ausfuhr von Dual-Use-Gütern des deutschen Bundesamtes für Wirtschaft und Ausfuhrkontrolle beigelegt worden war. Die Genehmigung betraf eine Lieferung von Chipscannern. Zu berücksichtigen ist indessen, dass die B._______ AG gemäss ihrem Kundenprofil im Handel mit Mess- und medizinischen Geräten tätig war. Entgegen der Auffassung der Vorinstanz implizierte diese Information nicht, dass die gehandelten Güter mehrheitlich als Dual-Use-Güter einzustufen gewesen wären, da die Liste der genehmigungspflichtigen Dual-Use-Güter in jener Zeit noch wesentlich beschränkter war als nach dem Erlass der Dual-Use-Verordnungen durch die EU im Jahr 2014 und insbesondere ab März 2022. Dass eine dieser Lieferungen effektiv so einzustufen war und die Kundin nachgewiesenermassen über die erforderliche Exportbewilligung für die in Frage stehende Lieferung verfügte, stellte keinen hinreichend konkreten Anhaltspunkt dar, aufgrund dessen die Bank hätte vermuten müssen, dass andere Transaktionen dieser Kundin ebenfalls Dual-Use-Güter zum Gegenstand gehabt hätten, welche aber ohne Bewilligung exportiert worden seien. Die Vorinstanz hat keine anderen Anhaltspunkte dargetan, aufgrund derer die Bank konkret hätte annehmen müssen, dass dies der Fall gewesen wäre, oder dass die Kundin versucht hätte, den konkreten Gegenstand von anderen Lieferungen vor ihr zu verbergen.

Aus einem weiteren Dokument geht hervor, dass die drei C._______-Gesellschaften Lizenzen des russischen Inlandgeheimdienstes FSB für die Arbeit mit Staatsgeheimnissen und Spezialausrüstung sowie der Federal Agency on Technological Regulating and Metrology (GOST R) verfügten. Gemäss ihrem Kundenprofil handelte die C._______ GmbH mit High Tech-Ausrüstungsgütern, wie beispielsweise Messgeräten und Übertragungsgeräten. Entgegen der Annahme der Vorinstanz erscheinen die in Frage stehenden Lizenzen für einen Importeur von derartigen High Tech-Ausrüstungsgütern nach Russland nicht als verdächtig; vielmehr implizieren die Lizenzen lediglich, dass die zuständigen russischen Amtsstellen sich vergewissert hatten, dass die C._______-Gesellschaften Gewähr boten, dass die von ihnen importierten technischen Geräte mit den inländischen Anforderungen konform und für die Sicherheit unbedenklich seien. Wo die Vorinstanz in diesen Lizenzen einen konkreten Anhaltspunkt dafür sehen will, dass die C._______-Gesellschaften illegal Waffen oder Dual-Use-Güter nach Russland exportieren könnten, ist nicht nachvollziehbar.

Wenn die Vorinstanz aufgrund der Medienmitteilung des US-Finanzministeriums vom 31. März 2022, welche den Verdacht der US-Behörden äussert, dass zwei in Moskau ansässige Unternehmen illegal Dual-Use-Ausrüstung und -Technologie für den russischen Verteidigungssektor beschafft hätten und G._______ in diese Geschäfte involviert sei, den Verdacht hegt, dass A._______ und seine Unternehmen bereits vor diesem Zeitpunkt illegal Dual-Use-Güter oder gar Waffen gehandelt hätten, so ist dies zwar nachvollziehbar. Damit stellt die Vorinstanz indessen auf Anhaltspunkte ab, die erst seit dieser Medienmitteilung vorliegen. Die Beschwerdeführerin rügt insofern zu Recht, dass die Vorinstanz bei ihrer Argumentation einen Rückschaufehler begeht. Bei einem Rückschaufehler (Hindsight Bias) handelt es sich um eine kognitive Verzerrung respektive um eine Tendenz, im Nachhinein zu glauben, dass man ein Ereignis hätte vorhersehen können oder müssen. Sind zunächst unzusammenhängende Punkte einmal verknüpft, neigt man dazu, davon auszugehen, dass diese Verknüpfungen in einem beliebigen früheren Zeitpunkt hätten erkannt werden können und müssen. Um einen Rückschaufehler zu vermeiden, ist die Ausgangslage in einer ex ante Betrachtung zu beurteilen (vgl. Doris Hutzler, EFD-Verurteilungen wegen Meldepflichtverletzung: Verantwortlichkeit in der Praxis, in: Schweizerische Zeitschrift für Wirtschafts- und Finanzmarktrecht SZW 03/2025, S. 278 ff., 283 f.).

Bei einer korrekten ex ante Betrachtung sind die dargelegten, von der Vor-instanz angeführten Anhaltspunkte indessen weder je einzeln noch in der Kombination geeignet, im massgeblichen Zeitpunkt einen konkreten Verdacht auf illegalen Handel mit Dual-Use-Gütern durch A._______, seine Frau oder seine Gesellschaften zu begründen.

4.8.8 Die Tathandlung einer vorsätzlichen Verletzung der Meldepflicht besteht darin, dass der Finanzintermediär zwar weiss oder den begründeten Verdacht hat, dass in eine Geschäftsbeziehung involvierte Vermögenswerte kontaminiert sind, es aber dennoch pflichtwidrig unterlässt, das der MROS anzuzeigen. Nur wenn dieses Wissen oder dieser Verdacht vorliegen, kann der Finanzintermediär die Meldepflicht vorsätzlich verletzen (de Capitani, a.a.O., Art. 37 N. 17 f.).

Eine Meldepflichtverletzung kann indessen auch fahrlässig erfolgen (vgl. Art. 37 Abs. 2 GwG). Eine fahrlässige Meldepflichtverletzung liegt vor, wenn der Finanzintermediär bei Anwendung pflichtgemässer Sorgfalt die deliktische Verstrickung der Vermögenswerte hätte erkennen können (Marianne Johanna Hilf, in: Kunz/Jutzi/Schären [Hrsg.], Geldwäschereigesetz [GwG], 2017, Art. 37 N. 33; Stiliano Ordolli, in: Thelesklaf/Wyss/van Thiel/Ordolli [Hrsg.], GwG Kommentar, 3. Aufl. 2019, Art. 37 N. 10 ff.). Da der Finanzintermediär selbst in dieser Situation die konkreten Anhaltspunkte, welche den Verdacht auf eine GwG-Vortat begründen, nicht kennt, sondern ihm subjektiv nur bewusst ist, dass er seinen Abklärungspflichten nicht nachkommt, stellt sich die Frage nach der Abgrenzung des Tatbestands einer fahrlässigen Verletzung der Meldepflicht von demjenigen einer einfachen Verletzung der Abklärungspflicht. Entscheidend ist diesbezüglich, dass das Vorliegen von konkreten Anhaltspunkten, welche den Verdacht auf eine GwG-Vortat begründen, auch bei der fahrlässigen Verletzung der Meldepflicht ein objektives Tatbestandsmerkmal darstellt. Auch wenn der Finanzintermediär selbst diese Anhaltspunkte nicht kennt und daher nicht zu einem begründeten Verdacht gekommen ist, weil er eben seine Hintergrundabklärungspflichten nicht oder nur nachlässig erfüllt hat, müssen die konkreten Anhaltspunkte auf eine GwG-Vortat objektiv gegeben sein.

Obliegt die Beweislast für den Vorwurf der Meldepflichtverletzung, wie im vorliegenden Fall, der FINMA, so hat sie daher nicht nur den Nachweis einer Verletzung der relevanten Abklärungspflichten zu erbringen, sondern auch das objektive Vorliegen der konkreten Anhaltspunkte, welche den Verdacht auf eine GwG-Vortat begründet hätten, und den adäquaten Kausalzusammenhang zwischen der Verletzung der Abklärungspflicht und der dadurch bewirkten fehlenden Kenntnis des Finanzintermediärs über diese Anhaltspunkte darzutun. Kann sie dagegen nicht dartun, dass diese konkreten Anhaltspunkte objektiv vorgelegen waren und dass der Finanzintermediär bei rechtskonformer Abklärung davon Kenntnis erlangt hätte, so ist der Nachweis einer fahrlässigen Verletzung der Meldepflicht nicht erbracht und der Vorwurf reduziert sich auf denjenigen einer einfachen Verletzung der Abklärungspflicht.

Auch in Bezug auf diese beanstandeten Transaktionen hat die Vorinstanz den Nachweis nicht erbracht, dass die Bank bei rechtskonformen Abklärungen Kenntnis von konkreten Anhaltspunkten für eine GwG-Vortat erlangt hätte.

Ohnehin kann der Vorinstanz nicht gefolgt werden, soweit sie im Unterlassen von weiteren Abklärungen eine schwere Verletzung von geldwäschereirechtlichen Sorgfaltspflichten sehen will. Die massgeblichen GwG-Bestimmungen sind, wie dargelegt (vgl. E. 4.2 und 4.8.5 hievor), sowohl bezüglich der sachverhaltlichen Voraussetzungen wie auch bezüglich der Rechtsfolgen relativ unbestimmt formuliert, was dem Finanzintermediär einen gewissen Beurteilungsspielraum einräumt. Nur bei Geschäftsbeziehungen mit erhöhtem Risiko oder bei Transaktionen mit erhöhtem Risiko sind zusätzliche Abklärungen zwingend vorgeschrieben (vgl. Art. 15 GwV-FINMA resp. Art. 14 aGwV-FINMA oder Art. 17 GwV-FINMA 1). Wie bereits dargelegt (vgl. E. 4.8.6 hievor), hat die Vorinstanz indessen nicht dargetan, dass die Bank die in Frage stehenden Geschäftsbeziehungen als solche mit erhöhtem Risiko hätte einstufen müssen. Auch ist weder durch die Vor-instanz dargetan noch ersichtlich, warum die Transaktionen selbst als Transaktionen mit erhöhtem Risiko hätten angesehen werden müssen. Die beanstandeten Transaktionen erfolgten grösstenteils, bevor der Export von Dual-Use-Gütern nach Russland eingeschränkt oder sogar weitgehend verboten wurde, und erhebliche Abweichungen von gegenüber den in der betreffenden oder in vergleichbaren Geschäftsbeziehungen üblichen Transaktionen (vgl. Art. 14 Abs. 2 Bst. b und c GwV-FINMA resp. Art. 13 Abs. 2 Bst. b und c aGwV-FINMA oder Art. 8 Abs. 2 Bst. b und c GwV-FINMA 1) hat die Vorinstanz nicht dargetan. Soweit die Vorinstanz offenbar davon auszugehen scheint, dass ein Finanzintermediär auch bei Geschäftsbeziehungen und Transaktionen ohne erhöhtes Risiko vor der Entgegennahme von Kaufpreiszahlungen immer schriftliche Belege einverlangen müsste, um sich nicht nur über die Einzelheiten des Kaufvertrags, sondern auch über die effektive Lieferung des Kaufgegenstands und das Vorhandensein der erforderlichen Exportbewilligungen zu vergewissern, geht sie offensichtlich zu weit.

4.8.9 Zwar ist mit der Vorinstanz davon auszugehen, dass die Bank ihren aufgrund der bankinternen Weisungen verlangten Abklärungspflichten bei zumindest verschiedenen dieser Transaktionen nicht genügend nachgekommen ist. Zu diesem Schluss kam offenbar auch die Beschwerdeführerin selbst in ihrer eigenen internen Überprüfung im Sommer 2021 (vgl. E. 5.5.3 hienach). Wie viele beziehungsweise welche dieser ungenügenden Abklärungen allenfalls sogar als schwere Aufsichtsrechtsverletzungen einzustufen wären, kann indessen offengelassen werden, da alle diese Transaktionen, welche die Vorinstanz als ungenügend abgeklärt oder dokumentiert beanstandet, vor dem für den Beginn der Verjährungsfrist massgeblichen Zeitpunkt stattfanden und die Vorinstanz in Bezug auf keine dieser Transaktionen die sachverhaltlichen Voraussetzungen für eine fahrlässige Meldepflichtverletzung (vgl. E. 4.8.8 hievor) dargetan hat. Als Anknüpfungspunkt für die im vorliegenden Fall umstrittene Einziehung taugen sie daher grundsätzlich nicht (vgl. E. 4.6 hievor).

4.8.10 Die Geschäftsbeziehung mit D._______ wurde am 15. März 2010 eröffnet. Wirtschaftlich berechtigt war D._______. Die im Kundendossier hinterlegte Visitenkarte lautete auf Project Manager bei der JSC "B._______" Moskau. Im Kundenprofil wurde erklärt, D._______ sei langjähriger Direktor der JSC B._______ Russland gewesen. Die JSC B._______ sei 1979 in der UdSSR gegründet worden, um russische Elektroapparate der Telekommunikation, Radios, Fernsehen und Fototechnik zu exportieren. Im Laufe der Zeit habe sich das Geschäftsmodell auf den Import von Medizingeräten vom Westen nach Russland gewandelt. JSC B._______ gehöre zum Firmenimperium von A._______. Dies erkläre auch, wieso D._______ die Boni direkt vom Konto des Besitzers und seiner Frau erhalten habe. Zu diesem Firmenimperium im Bereich Medizinal-, Mess- und Filmtechnik gehörten auch B._______ AG, C._______ GmbH und C._______ UK Ltd.. Das Konto wurde in der Folge in den Jahren 2010, 2012 und 2013 mit "Bonuszahlungen" vom Konto von A._______ und seiner Ehefrau alimentiert. Später wurde verzeichnet, dass sich die B._______ AG und die JSC B._______ [Russland] mittlerweile in Liquidation befänden und dass D._______ pensioniert sei. Die Beschwerdeführerin belegte die Geschäftsbeziehung mit D._______ aufgrund der Aufnahme von G._______ auf die OFAC-Sanktionsliste am 1. April 2022 mit einer umfassenden Transaktionssperre.

Mit der Vorinstanz ist davon auszugehen, dass die Herkunft der Mittel auf dem Konto von D._______ ungenügend plausibilisiert war. Dass ein leitender Angestellter einer Gesellschaft Boni in Millionenhöhe vom privaten Konto eines Geschäftsmannes beziehungsweise gar von dessen Ehefrau erhält, ist aus Sicht des Geldwäschereigesetzes nicht plausibel, selbst wenn der betreffende Geschäftsmann der beherrschende Aktionär der Arbeitgeberin des Angestellten ist, wovon der Kundenberater offenbar aufgrund der mündlichen Erklärungen der Kunden ausging. Weitere Abklärungen hätten daher erfolgen sollen. Allerdings geht die Vorinstanz, wie bereits dargelegt (vgl. E. 4.8.6 hievor), ohne überzeugende Gründe davon aus, dass alle Geschäftsbeziehungen, welche irgendeinen Bezug zu A._______ aufwiesen, als Geschäftsbeziehungen mit erhöhtem Risiko hätten eingestuft werden müssen. Bezüglich der Geschäftsbeziehung mit D._______ hat die Vorinstanz, abgesehen von diesem Bezug, überhaupt keine Argumente für eine derartige Einstufung vorgebracht. Nur bei derartigen GmeR war indessen die Pflicht, die Herkunft der eingebrachten Mittel abzuklären, zwingend vorgeschrieben (vgl. Art. 17 GwV-FINMA 1 bzw. Art. 14 aGwV-FINMA), so dass das Unterlassen oder eine klar ungenügende Plausibilisierung als schwere Aufsichtsrechtsverletzungen eingestuft werden könnte. Die Vorinstanz hat auch weder behauptet noch nachgewiesen, dass der Bank zusätzlich konkrete Anhaltspunkte für eine GwG-Vortat vorgelegen oder sich bei weiteren Abklärungen mit überwiegender Wahrscheinlichkeit ergeben hätten, so dass die sachverhaltlichen Voraussetzungen für eine fahrlässige Verletzung der Meldepflicht vorgelegen hätten. Selbst wenn die ungenügende Plausibilisierung der durch D._______ eingebrachten Mittel als schwere Aufsichtsrechtsverletzung einzustufen wäre, wäre sie daher nicht als fahrlässige Verletzung der Meldepflicht und damit nicht als Dauerdelikt einzustufen gewesen. Da die letzte dieser Überweisungen im Jahr 2013 erfolgte, war die Verjährungsfrist für eine allfällige Einziehung im Verfügungszeitpunkt bereits abgelaufen.

4.8.11 Die Vorinstanz zählt auch die Geschäftsbeziehung mit der H._______ Inc. zu den "A._______-Geschäftsbeziehungen". Die Beschwerdeführerin bestreitet einen Zusammenhang und macht geltend, der an dieser Gesellschaft wirtschaftlich Berechtigte Alexander N._______ sei nicht identisch mit "A. N._______", der gemäss dem Kundenprofil von A._______ den Vertrieb in Russland geleitet habe.

Die Geschäftsbeziehung mit der H._______ Inc. wurde am 5. Juni 2009 eröffnet und am 21. Dezember 2017 saldiert. Gemäss KYC war die Gesellschaft auf den British Virgin Islands domiziliert. Wirtschaftlich Berechtigter war Alexander N._______.

Die Begründung der angefochtenen Verfügung enthält in Bezug auf diese Gesellschaft lediglich den Vermerk "Transaktionen mit Gesellschaften im Umfeld von A._______", ohne dies näher zu begründen oder eine Belegstelle zu zitieren. In der Vernehmlassung macht die Vorinstanz geltend, über diese Geschäftsbeziehung seien teilweise Transaktionen mit denselben Gegenparteien abgewickelt worden wie über einzelne A._______-Geschäftsbeziehungen. Das sei insbesondere daher relevant, da sie in derselben risikobehafteten Branche und in demselben risikoreichen Markt tätig sei wie die Gesellschaften von A._______. Ein Zusammenhang sei deshalb aus aufsichtsrechtlicher Sicht gegeben. Auch bei der H._______ Inc. habe die Beschwerdeführerin ihre geldwäschereirechtlichen Pflichten nicht erfüllt. Über die Geschäftsbeziehung seien substantielle Transaktionen mit Offshore Gesellschaften abgewickelt worden. Die Gesellschaft verfüge weder über eigene Büroräumlichkeiten noch über eigene Mitarbeiter. Nachdem sie zu Beginn als Sitzgesellschaft qualifiziert worden sei, sei sie nachträglich als operativ eingestuft worden. Für den Nachweis der operativen Tätigkeit seien lediglich eine Visitenkarte des wirtschaftlich Berechtigten sowie ein Auditreport der operativen russischen Gesellschaft beigebracht worden, welche die H._______ Inc. beim Einkauf von Technologieequipment in westlichen Ländern unterstützt habe. Mangels aussagekräftiger Drittbelege lasse sich der legitime wirtschaftliche Hintergrund der Vermögenswerte der H._______ Inc. nicht belegen.

Wie dargelegt, trägt die Vorinstanz die Beweislast nicht nur für die der Beschwerdeführerin vorgeworfenen schweren Verletzungen von Aufsichtsrecht, sondern auch für den Nachweis der Kausalität zwischen der Aufsichtsrechtsverletzung und dem erzielten Gewinn, den sie einziehen will (vgl. E. 4.5 hievor). Auch im Fall der H._______ Inc. hat die Vorinstanz indessen nicht dargetan, warum die Geschäftsbeziehung als GmeR hätte eingestuft werden müssen oder dass der Bank konkrete Anhaltspunkte für eine GwG-Vortat vorgelegen beziehungsweise sich bei weiteren Abklärungen mit überwiegender Wahrscheinlichkeit ergeben hätten. Die Vorinstanz macht zu Recht nicht geltend, dass ein derartiger konkreter Anfangsverdacht sich bereits daraus ergeben habe, dass die H._______ Inc. möglicherweise lediglich eine Sitzgesellschaft war und dass sie gemäss ihren eigenen Angaben eine russische Gesellschaft beim Einkauf von Technologieequipment unterstützte. Die erstmals in der Vernehmlassung vorgebrachten Behauptungen bezüglich substantiellen Transaktionen mit Offshore Gesellschaften sind weder substantiiert noch belegt.

Selbst wenn der Vorinstanz insoweit gefolgt würde, dass die Bank auch bezüglich dieser Geschäftsbeziehung weitere Abklärungen hätte tätigen und dokumentieren müssen, so wäre eine entsprechende Verletzung der Abklärungspflichten im Jahr 2009 erfolgt und damit lange Zeit vor Beginn der Verjährungsfrist für die vorliegend in Frage stehende Gewinneinziehung.

4.8.12 Die Vorinstanz beanstandet weiter, dass die Bank bei der "Wiedereröffnung" der Geschäftsbeziehung mit der C._______ GmbH am 27. März 2020 den Hintergrund der vorangegangenen Saldierung der Geschäftsbeziehung mit der C._______ GmbH durch die Commerzbank nicht abgeklärt hatte.

Die C._______ GmbH hatte bereits seit 2014 ein Konto bei der Bank gehabt. Dieses wurde im November 2019 saldiert, gemäss KYC wegen den hohen Gebühren. Die Gelder wurden in der Folge an die Commerzbank (Deutschland) überführt. Gemäss dem Kundenprofil erkundigte sich der Kundenberater nach dem Grund der Rückkehr und erhielt die Auskunft, dass die Commerzbank wegen ihrer neuen Geschäftsausrichtung das Konto der C._______ GmbH saldiert habe.

Mit der Vorinstanz ist davon auszugehen, dass die Bank hätte versuchen sollen, die Hintergründe der Saldierung der Geschäftsbeziehung durch die Commerzbank abzuklären. Allerdings ist auch hier nicht dargetan, dass die Geschäftsbeziehung als GmeR hätte eingestuft werden müssen (vgl. E. 4.8.6 hievor), weshalb zweifelhaft ist, ob diese Verletzung der Abklärungspflicht auch als schwer zu qualifizieren wäre. Vor allem aber ist völlig offen, welches Resultat derartige Abklärungen erbracht hätten. Die Saldierung der Geschäftsbeziehung ist zwar eine häufige Reaktion einer Bank auf eine veränderte Risikoeinschätzung. Dies heisst aber im Umkehrschluss nicht, dass jede Bank, die eine Geschäftsbeziehung saldiert, eine derartige veränderte Risikoeinschätzung vorgenommen hat oder dies gar aufgrund von konkreten Anhaltspunkten für eine GwG-Vortat im Sinne des massgeblichen und in jenem Zeitpunkt gültigen schweizerischen Rechts getan hat. Die Vorinstanz hat insbesondere etwa nicht dargetan, dass in jener Phase in Deutschland ein Strafverfahren wegen einer GwG-Vortat gegen die C._______ GmbH eröffnet worden wäre. Ob die von der Bank allenfalls pflichtwidrig unterlassenen Abklärungen im Hinblick auf die Saldierung der Geschäftsbeziehung bei der Commerzbank konkrete Anhaltspunkte für eine GwG-Vortat ergeben hätten, ist daher völlig offen.

Die Vorinstanz hat, wie dargelegt (vgl. E. 4.5 und E. 4.8.8 hievor), nicht nur den Nachweis für die der Beschwerdeführerin vorgeworfenen schweren Verletzungen von Aufsichtsrecht zu erbringen, sondern auch dafür, dass mit dem für eine adäquate Kausalität erforderlichen Grad von Wahrscheinlichkeit davon ausgegangen werden kann, dass die Beschwerdeführerin bei rechtskonformem Verhalten Kenntnis von konkreten Anhaltspunkten für eine GwG-Vortat erlangt hätte, so dass sie eine Meldung an die MROS erstattet und die in Frage stehende Geschäftsbeziehung nicht wieder eröffnet und aus diesem Grund den Gewinn, den die Vorinstanz einziehen will, nicht erzielt hätte. Im vorliegenden Fall hat die Vorinstanz diesen ihr obliegenden Nachweis nicht erbracht.

4.8.13 Die Untersuchungsbeauftragte beurteilte eine Stichprobe von 50 Transaktionen mit einem Bezug zu den "A._______-Geschäftsbeziehungen". Von diesen untersuchten 50 Transaktionen erfolgten lediglich vier innerhalb der sieben Jahre vor Erlass der angefochtenen Verfügung, d.h. nach dem 21. Juni 2017, und von diesen beurteilte die Untersuchungsbeauftragte drei Transaktionen hinsichtlich der Einhaltung der Geldwäscherei-Gesetzgebung als "grundsätzlich akzeptabel". Auch die Vorinstanz wirft der Beschwerdeführerin bezüglich dieser drei Transaktionen keine Verletzung von Aufsichtsrecht vor. Von den nach Beginn der Verjährungsfrist erfolgten Transaktionen ist einzig diejenige vom 2. August 2017 umstritten.

Bei der beanstandeten Transaktion vom 2. August 2017 handelt es sich um eine Überweisung in Höhe von EUR 500'000.- von der F._______ Ltd. auf das Konto von A._______. Die hinterlegte Dokumentation bestand aus einer Darlehensvereinbarung vom 8. November 2016 zwischen der F._______ Ltd., Malta, als Darlehensgeberin und A._______ als Darlehensnehmer über eine Darlehenssumme von USD 1'200'000, rückzahlbar bis 31. Dezember 2017. A._______ unterschrieb als "director" der F._______ Ltd. diesen Vertrag auch im Namen der Darlehensgeberin. Das Dokument enthält keine Angaben zum Hintergrund oder Zweck des gewährten Darlehens. Dasselbe Dokument hatte die Bank bereits für die Dokumentation einer anderen Transaktion, einer Überweisung vom 9. November 2016 in Höhe von EUR 1'200'000.-, verwendet.

Die Beanstandung der Vorinstanz, es liege zwar eine Darlehensvereinbarung vor, jedoch stimmten der ausbezahlte Darlehensbetrag und das Datum der Transaktion nicht mit dem Vertrag überein, vielmehr handle es sich dabei offensichtlich um den Vertrag zu der früheren Transaktion, erscheint als zutreffend. Insofern fehlt in der Dokumentation der Bank eine Kopie des Darlehensvertrags, der den Rechtsgrund für diese zweite Transaktion bildete. Andererseits ist zu berücksichtigen, dass die Pflicht, die Herkunft der eingebrachten Mittel abzuklären, nur für GmeR zwingend vorgeschrieben war (vgl. Art. 15 Abs. 2 Bst. b GwV-FINMA). Das Unterlassen derartiger Abklärungen oder eine ungenügende Plausibilisierung könnte daher nur bei derartigen Geschäftsbeziehungen als schwere Aufsichtsrechtsverletzungen eingestuft werden (vgl. E. 4.8.10 hievor). Die Geschäftsbeziehung mit A._______ war indessen, wie bereits dargelegt (vgl. E. 4.8.6 hievor), im Jahr 2017 noch keine GmeR im aufsichtsrechtlichen Sinn. Hinzu kommt, dass die Überweisung selbst von der F._______ Ltd. mit "Darlehen" bezeichnet worden war. Die Bank verfügte insofern bereits über eine Bestätigung der Darlehensgeberin, dass diese Überweisung aufgrund eines Darlehensvertrags erfolgte. Für die Bank ersichtliche Anhaltspunkte dafür, dass die eingebrachten Mittel aus einer GwG-Vortat stammen könnten, substantiiert die Vorinstanz nicht. Ihre Kritik an den Abklärungen zur vorangegangenen Transaktion vom 9. November 2016, in der sie auf Informationen in der Medienmitteilung des US-Finanzministeriums vom 31. März 2022 verweist, impliziert, dass ihr auch hier ein unzulässiger Rückschaufehler unterlief. Da die Geschäftsbeziehung mit A._______ im Jahr 2017 noch nicht als GmeR im aufsichtsrechtlichen Sinn einzustufen war, kann das Unterlassen weiterer Abklärungen bei dieser Sachlage und diesem Informationsstand der Bank jedenfalls nicht als schwere Verletzung von Aufsichtsrecht eingestuft werden.

4.9 Die Vorinstanz wirft der Beschwerdeführerin weiter eine Verletzung der Meldepflicht nach Art. 9 GwG vor. Die ungenügenden Abklärungen zu Zweck und Hintergrund der Geschäftsbeziehungen, der Transaktionen, der Herkunft der Vermögenswerte sowie die fehlende Gesamtsicht über die A._______-Geschäftsbeziehungen hätten auch dazu geführt, dass der Beschwerdeführerin eine hinreichende Grundlage zur Überprüfung der Meldepflicht nach Art. 9 GwG gefehlt habe. Obschon es im Untersuchungszeitraum immer wieder zu Auffälligkeiten in Bezug auf die Transaktionen gekommen sei, welche über Konten mit einem Bezug zu A._______ abgewickelt worden seien, und aus dem KYC der B._______ AG ein Bezug von A._______ zum KGB hervorgegangen sei, seien vertiefende Abklärungen zu den A._______-Geschäftsbeziehungen erst getätigt worden, als die Beschwerdeführerin im Oktober 2020 Kenntnis von den Kontaktaufnahmen der Kantonspolizei [...] erlangt habe. Dabei sei die Beschwerdeführerin auf Medienberichte aus den Jahren 2012 und 2014 gestossen, welche den Verdacht auf die Involvierung der B._______ AG in die Veruntreuung von Staatsgeldern im Zusammenhang mit einem Projekt zum Ausbau des Gesundheitswesens in Russland ausgelöst hätten. Den Umstand, dass der Nachrichtendienst des Bundes (NDB) sich angeblich für die Geschäftsbeziehungen mit einem Bezug zu A._______ interessiert habe und Mitarbeiter der Beschwerdeführerin im Frühling 2020 und im Januar 2021 durch diesen befragt worden seien, habe die Beschwerdeführerin erst in der Rückmeldung vom 2. September 2021 an die MROS offengelegt, nachdem diese die Begründung der Meldung mit den Medienberichten aus den Jahren 2013 und 2014 als merkwürdig und nicht plausibel erachtet habe. Eine nachvollziehbare Dokumentation zu den Überlegungen, weshalb die Beschwerdeführerin in ihrer MROS-Meldung vom Januar 2021 lediglich vier - zu diesem Zeitpunkt bereits saldierte - Geschäftsbeziehungen gemeldet habe und weitere zum Zeitpunkt der Meldung bestehende Konten, welche auf dieselben Personen wie die gemeldeten Konten lauteten oder bei denen ebenfalls ein Konnex zu A._______ bzw. der B._______ AG bestanden habe, nicht aufgeführt habe, liege nicht vor. Die MROS-Meldung der Bank vom 11. Januar 2021 sei somit inhaltlich unzutreffend, irreführend und unvollständig.

Die Beschwerdeführerin vertritt den Standpunkt, keine Meldepflichten verletzt zu haben. Hinsichtlich ihres Umgangs mit dem Handel mit Dual-Use-Gütern hätten sich keine Hinweise ergeben, dass eine Transaktion im Zusammenhang mit einer qualifizierbaren Verletzung des Sanktionsrechts stehe. Insbesondere lägen keine konkreten Hinweise vor, dass sie eine Zahlung abgewickelt hätte, bei der die überwiesenen Gelder aus einer verbrecherischen Verletzung von Dual-Use-Bestimmungen als Vortat stammten. Hinsichtlich der eingereichten Meldung an die Meldestelle vom 11. Januar 2021 habe sie keine Pflicht zu einer Meldung getroffen. Somit könne die Meldung nicht verspätet oder unvollständig erfolgt sein. Aus den im Untersuchungsbericht genannten Medienartikeln zwischen 2010 und 2014 betreffend den Beschaffungsskandal von Medizinaltechnik lasse sich bei einer sachlichen Beurteilung nicht ableiten, dass die A._______-Geschäftsbeziehungen in strafbare Handlungen rund um diesen verwickelt gewesen seien. Zudem habe sie im Zeitpunkt des Erscheinens der Medienartikel keine reale Möglichkeit gehabt, auf diese zu stossen, da Tools für ein systematisches Adverse Media Screening zu dieser Zeit noch nicht verfügbar gewesen seien. Auf den üblichen Datenbanken wie LexisNexis und World Check habe es bei den getätigten Abklärungen keinen Treffer gegeben. Ausserdem habe die Vorinstanz kein systematisches Versagen oder grundlegendes Defizit bei der Bank festgestellt, vielmehr laute der Vorwurf, dass einzelne Mitarbeitende Fehlentscheidungen getroffen oder nachlässig gehandelt haben sollten. Wenn einzelne Mitarbeitende gegen Art. 9 GwG verstossen hätten, wäre das richtige Mittel eine Strafuntersuchung gegen die betroffenen Mitarbeitenden und nicht ein Enforcementverfahren gegen die arbeitgebende Bank.

4.9.1 In sachverhaltlicher Hinsicht ist unbestritten, dass die Bank zwei Meldungen erstattete:

Am 11. Januar 2021 meldete sie gestützt auf das Melderecht gemäss Art. 305ter Abs. 2 StGB vier zu jenem Zeitpunkt bereits saldierte Geschäftsbeziehungen (A._______, C._______ UK Ltd., B._______ AG und C._______ GmbH). G._______, D._______ und E._______ wurden als beteiligte Dritte gemeldet.

Am 5. Mai 2022 meldete die Bank dann, gestützt auf die Meldepflicht gemäss Art. 9 GwG, der MROS zwölf Geschäftsbeziehungen. Unter den gemeldeten Geschäftsbeziehungen befanden sich auch die vier, welche bereits Teil der Meldung vom 11. Januar 2021 waren. Hintergrund für die Meldung war, dass G._______ am 31. März 2022 von der OFAC auf die Liste der "Specially Designated Nationals and Blocked Persons" gesetzt worden war.

Der Vorwurf der Vorinstanz, die Beschwerdeführerin habe ihre Meldepflicht verletzt, bezieht sich allein auf die erste Meldung vom 11. Januar 2021.

4.9.2 Zwischen den Parteien ist vorab umstritten, ob die Beschwerdeführerin ihre Meldung zu Recht auf das Melderecht (Art. 305ter Abs. 2 StGB) statt auf die Meldepflicht (Art. 9 GwG) abstützte.

Wie bereits dargelegt, trägt die Vorinstanz die Beweislast nicht nur für die der Beschwerdeführerin vorgeworfenen schweren Verletzungen von aufsichtsrechtlichen Bestimmungen, sondern auch für den Kausalzusammenhang zwischen diesen Verletzungen und dem mit den Geschäftsbeziehungen in der Zeit von Juni 2017 bis Ende 2022 erzielten Gewinn, den sie einziehen will (vgl. E. 4.5 hievor). Im Hinblick auf diesen Kausalzusammenhang ist nicht ersichtlich, inwiefern es relevant sein könnte, ob die Bank eine Meldung gestützt auf eine allfällige Meldepflicht (Art. 9 GwG) oder gestützt lediglich auf ein Melderecht (Art. 305ter Abs. 2 StGB) erstattet. Die Frage kann daher offenbleiben.

Relevant ist daher vorliegend einzig, ob die Bank gestützt auf Art. 9 GwG verpflichtet war, eine Meldung zu erstatten, und, falls sie dazu verpflichtet war, ob die Meldung in der Folge rechtzeitig und inhaltlich korrekt erfolgte.

4.9.3 Die Bank muss der MROS unverzüglich Meldung erstatten, wenn sie bzw. ihre Organe wissen oder den begründeten Verdacht haben, dass die in die Geschäftsbeziehung involvierten Vermögenswerte aus einem Verbrechen herrühren (Art. 9 Abs. 1 Bst. a Ziff. 2 GwG, s. hievor E. 4.2).

4.9.4 Mitte August 2020 wurde ein Mitarbeiter der Bank, der damals als Kundenberater für die A._______-Geschäftsbeziehungen zuständig war, von der Kantonspolizei [...] kontaktiert und zu einem Gespräch mit dem Nachrichtendienst des Bundes (NDB) eingeladen. Das Gespräch fand am 19. August 2020 statt. Dabei wurden dem Mitarbeitenden verschiedene Fotos gezeigt, auf denen er A._______ erkannte. Zudem stellte der NDB ihm Fragen zum Onboarding-Prozess im Allgemeinen, aber keine spezifischen Fragen zur Geschäftstätigkeit von A._______oder zur Dual-Use-Thematik. Am 12. Oktober 2020 wurde auch der Vorgesetzte des erwähnten Mitarbeiters von der Kantonspolizei [...] kontaktiert und zu einem Gespräch mit dem NDB eingeladen. Der Hintergrund für die Kontaktaufnahme wurde nicht kommuniziert. Der Vorgesetzte informierte daraufhin am 14. Oktober 2020 den Head Legal der Bank, welcher seinerseits den damaligen CEO sowie den Head of Private Banking CEE in Kenntnis setzte. Nach interner Absprache nahm dieser Vorgesetzte in der Folge an dem Treffen mit dem NDB nicht teil. Der Head Legal und die Head Compliance tätigten indessen in diesem Zusammenhang weitere Abklärungen in Bezug auf die A._______-Geschäftsbeziehungen.

Im Zuge dieser Abklärungen stiessen sie auf mehrere Medienartikel und ein Gerichtsurteil:

In einem Medienbericht vom 7. Februar 2012 wurde die " B._______" erwähnt, die 1979 gegründet worden sei und vom russischen Ministerium für wirtschaftliche Entwicklung kontrolliert werde. B._______ sei von einem russischen Handelsgericht zur Zahlung von [...] Rubel wegen ungerechtfertigter Bereicherung verurteilt worden und habe daraufhin Berufung eingereicht. In einem Medienbericht vom 21. Mai 2014 wurde die russische Bundesbehörde B._______ ("federal agency B._______") genannt, die zwischen 2006 und 2008 als Generalunternehmer für das nationale Gesundheitsprojekt fungiert habe und O._______ das Recht gewährt habe, 14 der neuen Krankenhäuser Putins mit Ausrüstung zu beliefern. In einem weiteren Medienbericht vom 21. Mai 2014 stand zudem, dass B._______ [Russland] in finanzielle Schwierigkeiten geraten sei.

In einem Urteil des Obersten Gerichtshofs der Tschechischen Republik vom 9. Dezember 2014 wurde ein Auslieferungsersuchen Russlands betreffend einen Angeklagten abgehandelt. In diesem Urteil wird unter anderem ausgeführt, dass sich die Führungskräfte von B._______ [Russland] auf Preisinformationen verlassen hätten, die nicht dem tatsächlichen Preis entsprochen hätten, und während der Verhandlungen durch den Angeklagten getäuscht worden seien.

4.9.5 In der Folge entschied sich die Bank für die Ausübung des Melderechts gemäss Art. 305ter Abs. 2 StGB und meldete am 11. Januar 2021 der Meldestelle MROS vier zum Zeitpunkt der Meldung saldierte Geschäftsbeziehungen: A._______, C._______ UK Ltd., B._______ AG und C._______ GmbH. G._______, D._______ und E._______ wurden als beteiligte Dritte gemeldet.

Die Bank begründete die Meldung gegenüber der MROS mit einem Verdacht auf Veruntreuung von staatlichen Geldern. Sie führte aus, sie habe negative Medienberichte aus den Jahren 2012 und 2014 gefunden, welche einen Bezug zu der geschlossenen Geschäftsbeziehung mit der B._______ AG aufwiesen. In den Medienberichten werde ausgeführt, dass in den Jahren 2006 bis 2008 die staatliche russische Agentur B._______ als Generalunternehmer für das nationale Gesundheitsprojekt bei einem Importeur Ausrüstung im Wert von über $ [...] Mio. beschafft habe. Die Ausrüstung sei direkt von den westlichen Herstellern an den Importeur geliefert worden. Der Importeur habe die Ausrüstung zu mehr als dem Doppelten des Marktpreises bei einer britischen Gesellschaft gekauft, welche im Ruf stehe, von Verbündeten von Putin kontrolliert zu sein. Die Gelder seien in der Folge über das schweizerische Bankkonto einer Gesellschaft aus Belize an eine in den USA domizilierte Gesellschaft weitergeleitet worden, welche Baumaterialien für ein Putin gehörendes Grundstück geliefert habe. Die Bank führte aus, ihre Kundin, die schweizerische Gesellschaft B._______ AG, habe in ihrem Kundenprofil angegeben, eine Schwestergesellschaft in Russland zu haben. Die dabei angegebene Adresse stimme weder mit der Adresse der staatlichen russischen Agentur B._______ noch mit der Adresse anderer in Russland offiziell registrierten "B._______" überein. Jene Schwestergesellschaft habe keinen staatlichen Charakter gehabt, sondern sei als Aktiengesellschaft eingetragen gewesen. Die staatliche Agentur B._______ dagegen werde durch das Ministerium für Wirtschaftsentwicklung kontrolliert und betreibe wirtschaftliche Geschäfte mit dem Ausland. Die Bank habe jedoch eine Webseite gefunden, auf welcher die Adresse der staatlichen Agentur B._______ mit derjenigen auf einer Geschäftskarte übereinstimme. Dies sei allerdings eine unzuverlässige Quelle. Die B._______ AG habe nie einer russischen B._______ Mittel überwiesen, deshalb könne die Bank keine Beziehung zu einer russischen B._______ bestätigen. B._______ AG habe Ausrüstung, insbesondere medizinische Ausrüstung aus Deutschland geliefert. Die Bezahlung sei über britische und in Deutschland eingetragene Gesellschaften der gleichen Gruppe, C._______ UK Ltd. und C._______ GmbH, erfolgt. Keine dieser drei Gesellschaften habe Mittel von den in den Medienberichten genannten Gesellschaften erhalten oder an diese überwiesen und in der Zeitperiode, auf die sich die Medienberichte bezögen, sei die Beziehung zur B._______ AG nicht aktiv gewesen. Die Bank führe noch offene Geschäftsbeziehungen zu weiteren Personen mit Bezug zu der Gruppe, habe aber keine relevanten Anhaltspunkte für GwG-Vortaten oder negative Medienberichte identifiziere können.

4.9.6 Die Vorinstanz kritisiert diese Begründung lediglich insofern als wahrheitswidrig, als sie die Angaben der Bank, warum sie die Meldung erstattet habe, als unzutreffend einstuft. Die Meldepflicht sei nicht ausschliesslich durch die Medienartikel ausgelöst worden, sondern aufgrund der Auffälligkeiten der Transaktionen sowie der ehemaligen Tätigkeit von A._______ für den KGB und schliesslich des Interessens des NDB an der Geschäftsbeziehung.

Wie bereits dargelegt, kann der Vorinstanz nicht gefolgt werden, soweit sie in der Information, A._______ habe vor Jahrzehnten für den KGB gearbeitet, oder in den von ihr dargelegten Transaktionsdetails, insbesondere dem einzigen von ihr angeführten Beleg, der Genehmigung der deutschen Behörden für die Ausfuhr von Chipscannern im Gesamtwert von weniger als EUR 1 Mio. nach Russland, konkrete Anhaltspunkte für eine GwG-Vortat sehen will (vgl. E. 4.8.7 f. hievor).

Auch wenn zuzüglich zu diesen Sachverhaltsumständen noch die Kontaktaufnahme durch den NDB berücksichtigt wird, ergibt sich kein anderes Ergebnis: Zwar wurde die Beschwerdeführerin durch eine Strafverfolgungsbehörde (Kantonspolizei [...]) kontaktiert. Diese vermittelte indessen lediglich den Kontakt zum NDB, der seinerseits keine Strafverfolgungsbehörde ist. Die durch den NDB in der Folge preisgegebenen Informationen waren zu spärlich, um auf eine mögliche Strafverfolgung eines Bankkunden hinzuweisen. Aus den Akten geht hervor, dass die Beschwerdeführerin selbst im Rahmen des zweiten Gesprächs des NDB mit einem ehemaligen Kundenberater der Bank am 19. Januar 2021 keine Informationen darüber erhielt, dass eine strafbare Handlung untersucht werde und gegebenenfalls welche. Entgegen der Auffassung der Vorinstanz stellten diese Kontaktierung durch die Kantonspolizei und die anlässlich des darauffolgenden Treffens mit Mitarbeitenden des NDB gewonnenen, überaus spärlichen Informationen daher keine hinreichend konkreten Anhaltspunkte auf eine GwG-Vortat im Sinne von Art. 9 GwG dar, weder für sich allein noch in Kombination mit der Information über eine bereits Jahrzehnte zurückliegende Tätigkeit von A._______ und den von der Vorinstanz angeführten Transaktionsdetails.

Wenn die Bank daher diese Umstände nicht erwähnte, so kann ihr nicht vorgeworfen werden, sie hätte auch diese Sachumstände zum Gegenstand der Meldung machen müssen.

Die Vorinstanz argumentiert zwar, die ungenügenden Abklärungen der Bank zu Zweck und Hintergrund der Geschäftsbeziehungen, der Transaktionen, der Herkunft der Vermögenswerte sowie die fehlende Gesamtsicht über die A._______-Geschäftsbeziehungen hätten dazu geführt, dass ihr eine hinreichende Grundlage zur Überprüfung der Meldepflicht nach Art. 9 GwG gefehlt habe. Die Vorinstanz hat indessen, wie bereits dargelegt, den - ihr obliegenden - Nachweis nicht erbracht, dass die Bank, wenn sie die rechtlich gebotenen Abklärungen getroffen hätte, zu konkreten Anhaltspunkten für den Verdacht, dass die eingebrachten Mittel aus einer GwG-Vortat stammen könnten, gelangt wäre (vgl. E. 4.8.7 f. hievor). Mit der - unzulässigen - Rückschau aufgrund der Medienmitteilung des US-Finanzministeriums vom 31. März 2022 allein kann dieser Nachweis nicht erbracht werden.

Gemäss eigenen Angaben stiess die Bank erst im Zuge ihrer Abklärungen ab Oktober 2020 auf die vorerwähnten Medienartikel und das Gerichtsurteil. Sie macht geltend, sie verfüge erst seit ein paar Jahren über eine Real-Time-Überwachung der weltweit täglich erscheinenden Medienartikel (adverse media screening). Die auf den üblichen Datenbanken wie LexisNexis oder World Check getätigten regulären Abklärungen zwecks Plausibilisierung hätten keine negativen Treffer für die Geschäftsbeziehungen mit einem Bezug zu A._______ ergeben. Die bankinterne E-Mail-Korrespondenz aus jener Zeit stützt diese Darlegung. Die Vorinstanz hat nicht dargetan, dass die Bank bereits früher über diese Informationen verfügte und die Meldung daher verspätet gewesen wäre.

4.9.7 Der Vorwurf der Vorinstanz, die Bank habe ihre Meldepflicht an die MROS verletzt, erweist sich daher als nicht begründet.

4.10 Die Vorinstanz wirft der Beschwerdeführerin weiter eine Verletzung der Meldepflicht gegenüber der Vorinstanz selbst vor. Die Beschwerdeführerin habe am 14. Oktober 2020 Kenntnis davon erlangt, dass der NDB bzw. die Kantonspolizei [...] Mitarbeiter der Bank kontaktiert und sich für die Geschäftsbeziehung zu A._______ interessiert hätten. Der Umstand, dass sich womöglich der NDB für einen Kunden der Bank interessiert habe, der gemäss Kenntnis der Bank eine KGB-Vergangenheit aufweise und mit hohen Beträgen im Handel mit Dual-Use-Gütern mit einer Atommacht aktiv sei, zeige auf, dass die Bank möglicherweise für die Proliferationsfinanzierung missbraucht worden sein könnte. Dies löse angesichts der potenziell enormen Reputationsrisiken eine Meldepflicht an die FINMA aus, welcher die Bank vorliegend nicht nachgekommen sei. Aufgrund ihrer grundlegenden Bedeutung für die Wahrnehmung der Aufgaben der FINMA stelle die Auskunfts- und Meldepflicht nach Art. 29 FINMAG eine zentrale aufsichtsrechtliche Norm dar, deren Verletzung gewährsrelevant sei. Die vorliegend unterlassene Meldung stelle eine schwere Verletzung von Aufsichtsrecht dar.

4.10.1 Im Sinne einer Meldepflicht sind die Beaufsichtigten verpflichtet, der FINMA unverzüglich, unaufgefordert und proaktiv sämtliche Vorkommnisse zu melden, die für die Aufsicht von wesentlicher Bedeutung sind (Art. 29 Abs. 2 FINMAG). Von wesentlicher Bedeutung für die Aufsicht sind insbesondere Vorfälle von Relevanz für die finanzmarktrechtlichen Bewilligungsvoraussetzungen; zu denken ist dabei an gravierende finanzielle, personelle oder organisatorische Probleme, Schwierigkeiten mit ausländischen Behörden oder Änderungen der Geschäftsstrategie, welche sich wesentlich auf die Risiken einer oder eines Beaufsichtigten auswirken. Die Meldepflicht umfasst dabei in erster Linie Handlungen, die durch die Finanzmarktgesetzgebung unter Strafe gestellt worden sind, sowie sämtliche gemeinrechtlichen Delikte, welche der Beaufsichtigte, seine Organe oder Mitarbeiter gegenüber Kunden und Dritten verüben (Urteil des BGer 2C_929/2017 vom 23. April 2018 E. 2.2.1).

4.10.2 Die Vorinstanz begründet ihren Vorwurf an die Beschwerdeführerin damit, dass sich der NDB für einen Kunden der Bank interessiert habe, der gemäss Kenntnis der Bank eine KGB-Vergangenheit aufweise und mit hohen Beträgen im Handel mit Dual-Use-Gütern mit einer Atommacht aktiv sei. Wie bereits dargelegt, hat die Vorinstanz ihre Behauptung, die Bank habe bereits vor der Aufnahme von G._______ auf die OFAC-Sanktionsliste am 1. April 2022 konkrete Anhaltspunkte dafür gehabt, dass A._______ und seine Gesellschaften in gesetzwidriger Weise mit Dual-Use-Gütern handelten, nicht rechtsgenüglich belegt (vgl. E. 4.8.7 f. hievor).

Der Vorwurf, die Beschwerdeführerin habe bereits im Herbst 2020 gewusst, dass A._______ "mit hohen Beträgen im Handel mit Dual-Use-Gütern mit einer Atommacht aktiv sei", und deshalb eine Meldung gemäss Art. 29 Abs. 2 FINMAG hätte erstatten müssen, basiert insofern auf einer unbelegten Sachverhaltsbehauptung und erweist sich daher als nicht rechtsgenüglich begründet.

4.11 Zusammenfassend ergibt sich, dass die Voraussetzungen für die von der Vorinstanz verfügte Gewinneinziehung gestützt auf Art. 35 FINMAG nicht erstellt sind.

5. Neben der Einziehung hat die Vorinstanz verschiedene Massnahmen verfügt, welche aus ihrer Sicht für die Wiederherstellung des ordnungsgemässen Zustandes erforderlich sind (Dispositiv-Ziffern 2 bis 6).

Die Beschwerdeführerin rügt hierzu, die Massnahmen seien nur summarisch und unzulänglich in einem kurzen Absatz begründet. Zu Dispositiv-Ziffer 5 führt sie aus, die Finanzmarktaufsicht könne einer Bank nur Geschäfte hoheitlich verbieten, wenn die Bank diesbezüglich Aufsichtsrecht schwerwiegend verletze. Und auch dies könne sie nicht unbefristet anordnen, sondern nur so lange, bis die Mängel behoben seien. Das Verbot, das die Vorinstanz verhängen wolle, genüge keinen dieser Anforderungen und sei deshalb aufzuheben. Die Aussagen im Untersuchungsbericht zeigten, dass keine Anhaltspunkte für erhebliche und aktuelle Missstände bestünden, die die Anordnung des PEP- und Kommerzkundenverbots notwendig machen würden. Das Verbot sei zudem in mehrfacher Hinsicht unbestimmt und unklar. Des Weiteren sei es offensichtlich unverhältnismässig, weil es zeitlich unbeschränkt ausgesprochen worden sei. Ausserdem gehe das angeordnete Verbot wesentlich über die geltende Ukraine-Verordnung und das EU-Recht hinaus. Nicht zuletzt würden die von der Vorinstanz angeordneten Massnahmen, namentlich die Überprüfung nach Dispositiv-Ziffer 2 und die zusätzliche Prüfung durch einen Prüfbeauftragten nach Dispositiv-Ziffer 6, zu Kosten im siebenstelligen Bereich führen. Und auch das Kundenverbot nach Dispositiv-Ziffer 5 führe zu potenziell erheblichen Opportunitätskosten, die sich indes nicht verlässlich beziffern liessen.

5.1 Nach Art. 31 FINMAG sorgt die FINMA für die Wiederherstellung des ordnungsgemässen Zustandes, wenn eine Beaufsichtigte die Bestimmungen dieses Gesetzes oder eines Finanzmarktgesetzes verletzt oder sonstige Missstände bestehen. Diese Bestimmung enthält als Generalklausel nicht eine abschliessende Aufzählung zulässiger Anordnungen, sondern gibt der FINMA einen relativ weiten Ermessensspielraum (BGE 139 II 279 E. 4.2; 136 II 43 E. 4.3.3; 132 II 382 E. 4.1). Dieser relativ weite Ermessensspielraum sei erforderlich, um in der teilweise sehr technischen Materie handlungsfähig zu bleiben (Christoph Kuhn/David Wyss, XIV. Massnahmen der FINMA, in: Zulauf/Wyss [Hrsg.], Finanzmarktenforcement, 3. Aufl. 2022, S. 360). Sämtliche von der FINMA ergriffenen Massnahmen müssen allerdings für die Wiederherstellung des ordentlichen Zustandes erforderlich sein (Katja Roth Pellanda/Lara Kopp, in: Basler Kommentar zum Finanzmarktaufsichtsgesetz, 3. Aufl. 2019, Art. 31 N. 10).

Bei der Betätigung dieses technischen Ermessens ist die FINMA indessen an die allgemeinen Grundsätze des Verwaltungshandelns gebunden, insbesondere auch an den Grundsatz der Verhältnismässigkeit. Der Grundsatz der Verhältnismässigkeit verlangt, dass eine Massnahme für das Erreichen des im öffentlichen Interesse liegenden Ziels geeignet und erforderlich ist und sich für die Betroffenen in Anbetracht der Schwere der damit verbundenen Belastungen als zumutbar erweist (vgl. BGE 148 II 392 E. 8.2; 147 I 450 E. 3.2.3; 146 I 157 E. 5.4; Urteil des BGer 2C_597/2024 vom 16. September 2025 [zur Publikation vorgesehen] E. 7.2.1, je mit Hinweisen). Die Massnahme ist unverhältnismässig, d.h. nicht erforderlich, wenn das angestrebte Ziel mit einem weniger schweren Grundrechtseingriff erreicht werden kann und sie in sachlicher, räumlicher, zeitlicher und personeller Hinsicht über das Notwendige hinausgeht. Es ist das mildestmögliche Mittel zu wählen, welches noch ebenso wirksam hinsichtlich der Zielverfolgung ist (BGE 148 II 392 E. 8.2.3; 140 I 2 E. 9.2.2).

5.2 Im vorliegenden Fall sind die umstrittenen Massnahmen (Dispositiv-Ziffer 2 bis 6) wie folgt formuliert:

"2.Die X._______ AG wird im Sinne der Erwägungen verpflichtet, die von ihr geführten Geschäftsbeziehungen mit Kommerzkunden zu überprüfen und jene Geschäftsbeziehungen zu identifizieren, bei welchen die Kunden im Handel mit Dual-Use Gütern tätig sind. Die Bank hat zu entscheiden, ob diese Geschäftsbeziehungen unter dem aktuellen, verminderten Risikoappetit weitergeführt werden. Sollte sich die Bank gegen die Weiterführung entscheiden, sind die entsprechende Geschäftsbeziehungen zeitnah zu saldieren.

3.Die X._______ AG wird im Sinne der Erwägungen verpflichtet, bei der bereits eingeleiteten Erarbeitung und Umsetzung von Massnahmen zur Wiederherstellung des ordnungsgemässen Zustandes der Eidgenössischen Finanzmarktaufsicht FINMA ein regelmässiges Reporting betreffend die bestehenden Geschäftsbeziehungen mit Bezug zu den Märkten Russland und Belarus einzureichen.

4.Die X._______ AG wird im Sinne der Erwägungen verpflichtet, bei der bereits eingeleiteten Erarbeitung von Massnahmen folgende Punkte zu berücksichtigen und - gegebenenfalls ergänzend - entsprechende Massnahmen zu treffen und umzusetzen:

a. Vollständige Formalisierung der gruppenweiten Standards in bank-spezifischen Vorgaben mit formellem Weisungscharakter, sowie deren Wirksamkeit;

b. Angemessenheit der personellen und technischen Ausstattung und Wirksamkeit der Compliance-Funktion und deren Einbettung in das interne Kontrollsystem (IKS) sowie in die Governance der Bank;

c. Formeller Entscheid des Verwaltungsrates betreffend die Definition des Risikoappetits der Bank.

5.Der X._______ AG wird untersagt, neue Geschäftsbeziehungen (als Vertragspartner oder wirtschaftlich Berechtigte) zu politisch exponierten Personen mit Nationalität Russland oder Domizil in Russland, sowie Kommerzkunden mit Domizil in Russland oder mit Nationalität Russland und einem wesentlichen Nexus zu Russland oder Belarus zu eröffnen.

6.Zur Überprüfung der vollständigen Umsetzung sowie der Angemessenheit und Wirksamkeit der von der Bank beschlossenen und bereits umgesetzten Massnahmen sowie des Geldwäscherei-Dispositivs insgesamt wird die Eidgenössische Finanzmarktaufsicht FINMA im Rahmen der laufenden Aufsicht mittels separater Verfügung eine Prüfbeauftragte einsetzten. Die Prüfbeauftragte wird die vollständige Umsetzung, Angemessenheit und Wirksamkeit der von der X._______ AG getroffenen Massnahmen unter Berücksichtigung der Aspekte gemäss Ziff. 2 bis 5 überprüfen und der FINMA über ihre entsprechenden Feststellungen Bericht erstatten.

Sollte der Bericht der Prüfbeauftragten Beanstandungen und/oder Empfehlungen enthalten, sind diese durch die X._______ AG vollständig zu beseitigen bzw. umzusetzen. Damit verbundene Nachprüfungen werden durch dieselbe Prüfbeauftragte durchgeführt und an die FINMA rapportiert. Einzelheiten zum zeitlichen und inhaltlichen Umfang dieser Nachprüfungen werden im Rahmen der laufenden Aufsicht festgelegt."

5.3 Nach der bundesgerichtlichen Rechtsprechung sind umso strengere Anforderungen an die Begründung zu stellen, je grösser der der Behörde eingeräumte Ermessensspielraum ist (BGE 142 II 324 E. 3.6; 129 I 232 E. 3.3 m.w.H.; 125 II 369 E. 2c.).

Es versteht sich von selbst, dass die Beschwerdeführerin in Bezug auf ihr Geldwäschereidispositiv und ihre interne Organisation die aufsichtsrechtlichen Regeln, die für alle Banken gelten, einzuhalten hat. Soweit die von der Vorinstanz angeordneten Massnahmen lediglich die Einhaltung dieser Regeln thematisieren, ist daher nicht ersichtlich, warum es erforderlich sein sollte, die Beschwerdeführerin diesbezüglich noch spezifisch anzuweisen. Soweit hingegen die angeordneten Massnahmen darüber hinausgehen, was sich ohnehin aus dem Aufsichtsrecht ergibt und auch für alle anderen Banken gilt, hätte die Vorinstanz in ihrer Begründung konkret aufzuzeigen, weshalb die Anordnung derartiger Massnahmen im vorliegenden Fall so dringend erforderlich ist, dass sie einen Eingriff in die Wirtschaftsfreiheit der Beschwerdeführerin (Art. 27 BV) rechtfertigen und vor dem Verbot der rechtsungleichen Behandlung (Art. 8 BV) standhalten würde.

5.4 Die Vorinstanz argumentiert, das vorliegend besonders umstrittene Verbot von neuen Geschäftsbeziehungen mit Russlandbezug (Dispositiv-Ziffer 5) orientiere sich am aktuellen, verminderten Risikoappetit der Beschwerdeführerin, den diese im Rahmen der Umsetzung der internationalen Sanktionen in Zusammenhang mit dem russischen Angriffskrieg gegen die Ukraine angepasst habe. Die Beschwerdeführerin habe sich selbst unter anderem dazu entschieden, Geschäftsbeziehungen mit politisch exponierten Personen (PEP) mit Nationalität Russland oder Belarus zu saldieren. Zudem seien Neueröffnungen mit einem Bezug zu Russland nur im Rahmen einer Exception-to-Policy möglich. Die Folge der konsequenten Saldierung von Geschäftsbeziehungen, welche diese Kriterien erfüllten, sei, dass auch keine entsprechenden neuen Geschäftsbeziehungen mehr eröffnet würden. Durch das Verbot werde somit eine Massnahme verfügt, welche bereits durch die aktuellen Weisungen der Beschwerdeführerin vorgesehen würden.

Wenn die Vorinstanz damit die Verhältnismässigkeit ihrer Anordnung begründen will, ist ihre Argumentation nicht nachvollziehbar. Soweit die Bank ohnehin zurzeit von sich aus auf bestimmte Kunden mit Russlandbezug verzichtet, ist nicht ersichtlich, warum es erforderlich sein sollte, ihr diese Art von Geschäftsbeziehungen zusätzlich zu verbieten. Soweit aber das angefochtene Verbot - insbesondere in seiner unbeschränkten zeitlichen Dauer und mangelnden Konkretisierung - über diese aktuelle Selbstbeschränkung der Beschwerdeführerin hinausgeht, so ist nicht ersichtlich, inwiefern der Verweis darauf eine hinreichende Begründung für das Verbot darstellen sollte.

5.5 In ihrer Vernehmlassung macht die Vorinstanz geltend, Grundlage für das Verbot gemäss Dispositiv-Ziffer 5 sei die in der Verfügung dargelegte schwere Verletzung von Aufsichtsrecht.

5.5.1 Wie bereits im Kontext der Beurteilung der angefochtenen Gewinneinziehung dargelegt, beziehen diese Vorwürfe der Vorinstanz sich überwiegend auf Sachverhaltsumstände, welche im Verfügungszeitpunkt bereits mehrere Jahre zurücklagen, teilweise sogar mehr als sieben Jahre. Einzelne dieser Sachverhaltsumstände liegen zwar weniger als sieben Jahre zurück, doch ist es der Vorinstanz, wie dargelegt, nicht gelungen, ihren Vorwurf einer schweren Verletzung von Aufsichtsrecht rechtsgenüglich zu erhärten (E. 4.8.12 f. hievor).

Für die Beurteilung, ob eine Massnahme erforderlich ist, ist in zeitlicher Hinsicht indessen auf den Sachverhalt im Verfügungszeitpunkt abzustellen. Bevor auf Sachverhaltsumstände abgestellt werden darf, die mehr als sieben Jahre zurückliegen, ist zu prüfen, ob der Sachverhalt sich nicht allenfalls in der Zwischenzeit in entscheidrelevantem Ausmass verändert hat.

5.5.2 Im Sachverhalt ihrer Verfügung hatte die Vorinstanz dargelegt, die Beschwerdeführerin habe als Reaktion auf das Enforcementverfahren bzw. des Sachverhaltes, der zu diesem geführt habe, einzelne Massnahmen beschlossen und teilweise umgesetzt. Insbesondere habe sie in den Jahren 2022 und 2023 die bestehende Kundschaft mit einem Bezug zu den Märkten Russland und Belarus vertieft überprüft und Geschäftsbeziehungen, welche ausserhalb des aktuellen Risikoappetits der Bank lägen, wenn möglich zur Saldierung freigegeben. Zudem habe die Beschwerdeführerin ihr Compliance-Framework angepasst und sei derzeit daran, verschiedene Massnahmen umzusetzen, wie die Formalisierung von bankspezifischen Vorgaben in Ergänzung zu den gruppenweiten Weisungen und Standards, welche auch die Entscheidung über MROS-Meldungen regeln sollten, verschiedene neue Zuständigkeitsregelungen, ein Compliance-Schulungsprogramm mit einer Präsenzschulung zu Sanktionen, eine verbesserte laufende Kontrolle von kritischen Kundenbeziehungen mit einem Russlandkonnex sowie eine Aufstockung der Compliance-Ressourcen. Die ergriffenen Massnahmen seien aber erst vor kurzem implementiert bzw. abgeschlossen worden oder befänden sich noch in der Umsetzungsphase.

5.5.3 Aus den Akten ergibt sich, dass die Bank bereits am 1. Juni 2021, also lange vor dem Beginn der Untersuchung durch die Vorinstanz, neue gruppenweite Standards erlassen hatte für Risk Scoring und KYC. In den folgenden Monaten tätigte sie im Kontext ihrer gruppenweiten "KYC Remediation" eine eigene gruppeninterne Überprüfung in Bezug auf die Kundenstruktur betreffend A._______, seine Gesellschaften und weitere involvierte Personen und kam dabei zum Schluss, dass noch relevante Schwachstellen bezüglich der Compliance in Bezug auf das gruppenweit erlassene Regelwerk und die bis Anfang 2021 ausgerollten "Financial Crime Compliance Standards" bezüglich KYC, AML, Counter Terrorismus Financing, Sanktionen und Embargo bestünden. Die gruppenweite "KYC Remediation" sei daher rasch zu erledigen und die Organisation in Sachen Eskalationskultur weiter zu sensibilisieren.

In ihrer Beschwerde weist die Beschwerdeführerin zutreffend darauf hin, dass die Untersuchungsbeauftragte der Vorinstanz in ihrem Bericht zum Schluss kam, "die konzeptionelle Ausgestaltung des heute implementierten Systems zur Risikoklassifizierung von Geschäftsbeziehungen und deren periodische Wiedervorlagen" sei "zweckmässig", "die konzeptionelle Ausgestaltung des heute implementierten Systems zur Transaktionsüberwachung" sei "zweckmässig", mit "der per 7. Oktober 2023 geplanten Verstärkung des Teams um einen zusätzlichen Senior Compliance Officer" erscheine "die Ressourcen-Situation angemessen", "die heutige konzeptionelle Ausgestaltung des Sanctions Compliance Framework der Bank" sei "zweckmässig" und die "implementierten Systeme und Prozesse sowie die verhältnismässig detaillierten Regelungen in den Group-Standards zur Erkennung eines etwaigen Sanktionsbezugs von Geschäftsbeziehungen und Transaktionen" seien "angemessen".

5.5.4 Die Vorinstanz hat diese von der Bank in den letzten drei Jahren ergriffenen eigenen Massnahmen zur Verbesserung ihres Geldwäschereidispositivs nur zum Teil und lediglich im Sachverhaltsteil ihrer Verfügung erwähnt. Bei der Prüfung der Erforderlichkeit der verfügten Massnahmen gestützt auf Art. 31 FINMAG hat sie diese von der Bank selbst vorgenommenen Verbesserungen, und insbesondere auch deren Beurteilung durch die Untersuchungsbeauftragte, überhaupt nicht berücksichtigt. Auch im Rechtsmittelverfahren äussert sie sich dazu nicht.

Hat das beaufsichtigte Institut die in Frage stehenden Missstände selbst erkannt und vor dem Erlass der angefochtenen Verfügung behoben, so ist dieser Umstand gebührend zu berücksichtigen. Dies gilt insbesondere dann, wenn das beaufsichtigte Institut, wie im vorliegenden Fall die Beschwerdeführerin, nicht lediglich auf die Untersuchung durch die Vorinstanz reagiert, sondern das Problem bereits vorher von sich aus untersucht und adressiert hat. Ein derartiges Verhalten impliziert eine korrekte Fehlerkultur und ein ernsthaftes Bemühen um rechtskonformes Verhalten, welche die Vorinstanz nicht einfach ignorieren darf.

5.5.5 Wenn die Vorinstanz im vorliegenden Fall daher lediglich auf Mängel, welche grösstenteils mehr als sieben Jahre zurückliegen, abgestellt hat, ohne die von der Beschwerdeführerin selbst beschlossenen und seit drei Jahren umgesetzten Änderungen im Weisungswesen und in den Abläufen zu würdigen, und die durch ihre eigene Untersuchungsbeauftragte bestätigte Verbesserung der früheren Mängel offenbar überhaupt nicht in ihre Überlegungen einbezieht, so hat sie den rechtserheblichen Sachverhalt nicht nur unvollständig festgestellt, sondern in wesentlichen Punkten unrichtig gewürdigt.

5.6 Zusammenfassend ergibt sich, dass die Vorinstanz bei der Anordnung der in Frage stehenden Massnahmen den Grundsatz der Verhältnismässigkeit, insbesondere die Frage nach der Erforderlichkeit der Massnahmen, nicht genügend berücksichtigt und damit das ihr gemäss Art. 31 FINMAG zustehende technische Ermessen rechtsfehlerhaft ausgeübt hat.

5.7 Die Beschwerde erweist sich daher auch in Bezug auf die angeordneten Massnahmen als begründet und ist daher in diesem Punkt gutzuheissen.

6. Die Beschwerdeführerin beantragt die Aufhebung der ganzen Verfügung, was an sich auch die ihr auferlegten Kosten für die Untersuchungsbeauftragte (Dispositiv-Ziffer 7) und den Verfahrenskostenpunkt (Dispositiv-Ziffer 8) beinhaltet.

Da die - anwaltlich vertretene - Beschwerdeführerin indessen diese Punkte nicht spezifisch rügt, ist auf diese Punkte nicht von Amtes wegen einzugehen, sondern ihre Beschwerde ist diesbezüglich als unbegründet einzustufen und abzuweisen.

7. Zusammenfassend ergibt sich, dass die Beschwerde gutzuheissen ist, soweit sie sich gegen die Gewinneinziehung und die gestützt auf Art. 31 FINMAG verfügten Massnahmen richtet. Im Übrigen erweist sie sich als unbegründet und ist daher abzuweisen.

8. Bei diesem Ausgang gilt die Beschwerdeführerin als überwiegend obsiegend. Die teilweise Abweisung betrifft Punkte, welche die Beschwerdeführerin gar nicht gerügt hat und die daher aufwandmässig nicht ins Gewicht fallen, weshalb der Beschwerdeführerin diesbezüglich keine Verfahrenskosten aufzuerlegen sind (Art. 63 Abs. 1 VwVG; Art. 5 des Reglements vom 21. Februar 2008 über die Kosten und Entschädigungen vor dem Bundesverwaltungsgericht [VGKE, SR 173.320.2]). Vorinstanzen werden keine Verfahrenskosten auferlegt (Art. 63 Abs. 2 VwVG).

9. Der überwiegend obsiegenden, anwaltlich vertretenen Beschwerdeführerin ist zu Lasten der Vorinstanz eine nur geringfügig reduzierte Parteientschädigung für die ihr erwachsenen notwendigen und verhältnismässig hohen Kosten des Beschwerdeverfahrens zuzusprechen (Art. 64 Abs. 1 VwVG). Die Beschwerdeführerin war im Verfahren vor dem Bundesverwaltungsgericht anwaltlich vertreten, hat indessen keine Kostennote eingereicht, weshalb die ihr zuzusprechende Parteientschädigung (inkl. Auslagen) ermessensweise und aufgrund der Akten festzusetzen ist (Art. 14 Abs. 2 Satz 2 VGKE).

10. Die Beschwerdeführerin beantragt in verfahrensrechtlicher Hinsicht, dass bei der Veröffentlichung und Auflage von Entscheiden im vorliegenden Verfahren sämtliche Angaben, welche die Beschwerdeführerin, deren Mitarbeitende oder Kunden direkt oder indirekt identifizierten, vollständig zu anonymisieren seien.

Entscheide des Bundesverwaltungsgerichts werden grundsätzlich in anonymisierter Form veröffentlicht (vgl. Art. 29 Abs. 2 VGG; Art. 8 Abs. 1 des Informationsreglements für das Bundesverwaltungsgericht vom 21. Februar 2008 [SR 173.320.4]; im Folgenden: InfReg-BVGer). Dies wird auch im vorliegenden Fall geschehen.

Hingegen wird das Dispositiv mit Rubrum während dreissig Tagen nach Eröffnung öffentlich aufgelegt (Art. 42 VGG; Art. 4 Abs. 1 InfReg-BVGer), wobei eine Anonymisierung lediglich zum Schutz der Persönlichkeit oder anderer privater oder öffentlicher Interessen zulässig ist (Art. 4 Abs. 2 InfReg-BVGer). Die Auflage in nicht anonymisierter Form trägt dem Grundsatz der öffentlichen Urteilsverkündung sowie der Transparenz Rechnung; Ausnahmen sind zurückhaltend anzunehmen, und Gründe für die Anonymisierung sind von der antragstellenden Person substantiiert geltend zu machen (vgl. BGE 147 II 227 E. 8 m.H.). Die Beschwerdeführerin bringt keine solchen Gründe vor, sondern scheint anzunehmen, dass gewichtige öffentliche Interessen für eine nicht anonymisierten Auflage erforderlich seien. Diese Auffassung korreliert indessen nicht mit der erwähnten Rechtsprechung des Bundesgerichts. Die Beschwerdeführerin selbst ist eine juristische Person, welche sich nicht auf überwiegende private Interessen im Sinn dieser Rechtsprechung berufen könnte, und Mitarbeitende oder Kunden der Beschwerdeführerin werden weder im Rubrum noch im Dispositiv genannt werden.

Demnach erkennt das Bundesverwaltungsgericht:

1. Die Beschwerde wird teilweise gutgeheissen.

Die Dispositiv-Ziffern 1 bis 6 der angefochtenen Verfügung der Vorinstanz vom 21. Juni 2024 werden aufgehoben.

Im Übrigen wird die Beschwerde abgewiesen.

2. Der Beschwerdeführerin werden keine Verfahrenskosten auferlegt. Der einbezahlte Kostenvorschuss von Fr. 10'000.- wird der Beschwerdeführerin nach Eintritt der Rechtskraft des vorliegenden Urteils zurückerstattet.

3. Der Beschwerdeführerin wird zu Lasten der Vorinstanz eine Parteientschädigung von Fr. 30'000.- zugesprochen.

4. Dieses Urteil geht an die Beschwerdeführerin und die Vorinstanz.

Für die Rechtsmittelbelehrung wird auf die nächste Seite verwiesen.

Die vorsitzende Richterin:

Die Gerichtsschreiberin:

Eva Schneeberger

Daniela Steffen

Rechtsmittelbelehrung:

Gegen diesen Entscheid kann innert 30 Tagen nach Eröffnung beim Bundesgericht, 1000 Lausanne 14, Beschwerde in öffentlich-rechtlichen Angelegenheiten geführt werden (Art. 82 ff., 90 ff. und 100 BGG). Die Frist ist gewahrt, wenn die Beschwerde spätestens am letzten Tag der Frist beim Bundesgericht eingereicht oder zu dessen Handen der Schweizerischen Post oder einer schweizerischen diplomatischen oder konsularischen Vertretung übergeben worden ist (Art. 48 Abs. 1 BGG). Die Rechtsschrift ist in einer Amtssprache abzufassen und hat die Begehren, deren Begründung mit Angabe der Beweismittel und die Unterschrift zu enthalten. Der angefochtene Entscheid und die Beweismittel sind, soweit sie die beschwerdeführende Partei in Händen hat, beizulegen (Art. 42 BGG).

Versand: 24. Juni 2026

Zustellung erfolgt an:

- die Beschwerdeführerin (Gerichtsurkunde; Beilage: Rückerstattungsformular)

- die Vorinstanz (Ref-Nr. [...]; Gerichtsurkunde)