Wenn Sie eine Zwei-Personen-Versicherungsagentur in einem Einkaufszentrum in Springfield oder Cape Girardeau betreiben, denken Sie vermutlich, dass Cybersicherheitsgesetze für Unternehmen wie Allstate und Progressive gemacht sind. Ab dem 1. Januar 2026 sieht das Recht von Missouri das anders. House Bill 974, das neue Datensicherheitsgesetz für Versicherungen des Bundesstaates, verpflichtet nahezu jede Einheit, die in Missouri Versicherungen verkauft, betreut oder reguliert, zu einer formellen Cybersicherheits-Compliance — und die Uhr tickt bereits.
Missouri erfindet hier nichts Neues. Der Bundesstaat übernimmt ein Mustergesetz, das die Mehrheit der US-Bundesstaaten bereits verabschiedet hat — Agenturen, die über Staatsgrenzen hinweg tätig sind, unterliegen andernorts möglicherweise schon ähnlichen Regeln und haben nur nicht bemerkt, dass Missouri sich der Liste bald anschließen würde. Hier erfahren Sie, was sich tatsächlich ändert, wer zur Einhaltung verpflichtet ist und was eine kleine Agentur zwischen jetzt und der Frist erledigen muss.
Was HB 974 tatsächlich bewirkt
Missouris Gouverneur Mike Kehoe unterzeichnete HB 974 am 2. Juli 2025, womit Missouri der ungefähr 33. Bundesstaat (plus Puerto Rico) ist, der das Insurance Data Security Model Law der National Association of Insurance Commissioners (NAIC) übernimmt. Die Missouri-Version tritt am 1. Januar 2026 in Kraft und verankert das Insurance Data Security Act im Versicherungsrecht des Bundesstaates.
Das Gesetz gilt für jede Einheit, die nach den Versicherungsgesetzen von Missouri lizenziert, autorisiert oder registriert ist oder sein muss. Das ist ein weites Netz: Versicherer, Drittverwalter (Third-Party Administrators), Generalagenturen (Managing General Agents) und — entscheidend für die meisten Leser dieses Artikels — unabhängige Versicherungsagenturen und einzelne Vermittler.
Dies ist getrennt von Missouris allgemeinem Gesetz zur Meldung von Datenschutzverletzungen zu betrachten. Versicherungslizenznehmer müssen nun beide Regelwerke einhalten: das allgemeine Verbrauchermeldegesetz, das für jedes Unternehmen in Missouri gilt, sowie dieses versicherungsspezifische Regelwerk mit eigenen Definitionen, einem eigenen Zeitrahmen und einer eigenen Aufsichtsbehörde (dem Missouri Department of Commerce and Insurance anstelle des Attorney General).
Die vier Dinge, die jeder Lizenznehmer aufbauen muss
Entfernt man die juristische Sprache, verlangt HB 974 von Lizenznehmern den Aufbau von vier konkreten Dingen.
1. Ein schriftliches Informationssicherheitsprogramm
Das Gesetz verlangt ein dokumentiertes Programm, das „auf die Größe, Komplexität und Nutzung von Drittanbietern des Lizenznehmers zugeschnitten" ist und auf einer dokumentierten Risikobewertung aufbaut. In der Praxis bedeutet das: Es reicht nicht, einfach Antivirensoftware zu kaufen und die Sache für erledigt zu erklären — Sie brauchen ein schriftliches Dokument, das festhält, welche Daten Sie besitzen, was schiefgehen könnte und welche Schutzmaßnahmen Sie dagegen eingerichtet haben. Administrative, technische und physische Schutzmaßnahmen müssen alle berücksichtigt werden: etwa Zugriffskontrollen, Verschlüsselung sensibler Daten, Multi-Faktor-Authentifizierung, Prüfprotokolle (Audit Trails) und die sichere Entsorgung von Unterlagen, die Sie nicht mehr benötigen.
2. Jährliche Risikobewertung und Tests
Ein einmalig erstellter Ordner mit Richtlinien ist keine Compliance. Das Gesetz erwartet eine fortlaufende Prüfung zentraler Kontrollen — die regelmäßige Bestätigung, dass Ihre Schutzmaßnahmen noch funktionieren, nicht nur, dass sie zum Zeitpunkt der Erstellung der Richtlinie existierten. Für einen kleinen Betrieb ist das meist der Schritt, der ausgelassen wird, weil „jährliche Tests" nach etwas klingt, wofür nur eine IT-Abteilung Zeit hat. Es muss nicht aufwendig sein: Eine dokumentierte Überprüfung, wer Zugriff auf Kundendateien hat, ob alte Konten deaktiviert wurden und ob Backups tatsächlich wiederhergestellt werden können — einmal im Jahr durchgeführt und schriftlich festgehalten — bringt bereits viel.
3. Ein Notfallreaktionsplan
Bevor überhaupt etwas schiefgeht, müssen Lizenznehmer über einen dokumentierten Plan verfügen, der festlegt, wer bei einem Cybersicherheitsvorfall was tut — wer die Untersuchung übernimmt, wer mit Aufsichtsbehörden und betroffenen Verbrauchern kommuniziert und wer die Behebung durchführt. Dies im Voraus schriftlich festzuhalten ist wichtig, weil die weiter unten beschriebene Meldefrist in dem Moment zu laufen beginnt, in dem Sie einen Vorfall entdecken. Eine Agentur, die mitten in einer Datenschutzverletzung erst noch ihr eigenes Eskalationsverfahren herausfinden muss, verliert wertvolle Stunden, die sie nicht hat.
4. Überwachung von Dienstleistern
Wenn ein Drittanbieter — Ihr Agentur-Verwaltungssystem, Ihr E-Mail-Anbieter, ein Cloud-Speicherdienst — Zugriff auf Verbraucherdaten hat und gehackt wird, gilt das als Ihr Vorfall, nicht nur als der des Anbieters. HB 974 verlangt Sorgfaltspflicht bei der Auswahl von Dienstleistern sowie vertraglich verankerte Sicherheitsanforderungen in diesen Beziehungen. Ihre Dienstleisterverträge vor dem 1. Januar auf Sicherheitsklauseln zu überprüfen, ist eine sinnvolle Verwendung der nächsten Monate.
Die Meldefrist: Vier Werktage
Die zentrale Kennzahl in HB 974 ist Geschwindigkeit. Sobald ein Lizenznehmer einen Cybersicherheitsvorfall entdeckt, muss er unverzüglich Umfang und Auswirkungen untersuchen. Betrifft der Vorfall 250 oder mehr Verbraucher in Missouri oder könnte er Einwohner oder den Geschäftsbetrieb von Missouri erheblich schädigen, muss der Lizenznehmer das Missouri Department of Commerce and Insurance innerhalb von vier Werktagen benachrichtigen.
Vier Werktage sind schnell. Die meisten allgemeinen bundesstaatlichen Meldegesetze geben Unternehmen 30, 45 oder sogar 60 Tage Zeit, um betroffene Verbraucher nach der Entdeckung zu benachrichtigen. Der versicherungsspezifische Zeitrahmen verkürzt das drastisch — weshalb ein bereits schriftlich vorliegender statt improvisierter Notfallreaktionsplan in der Praxis keine Option, sondern eine Notwendigkeit ist.
Gibt es eine Ausnahme für kleine Agenturen?
Das NAIC-Mustergesetz sieht eine Ausnahme vor für Lizenznehmer mit weniger als 10 Mitarbeitern, für Vertreter eines Lizenznehmers sowie für Einheiten, die bereits HIPAA-konform sind — allerdings nur von Abschnitt 4, der Verpflichtung zum Aufbau des Informationssicherheitsprogramms. Bundesstaaten, die das Mustergesetz übernehmen, behalten diesen Schwellenwert nicht immer wie geschrieben bei: Manche haben ihn gesenkt, manche auf 25 Mitarbeiter angehoben, und einige haben die Ausnahme für Vertreter gestrichen, sie für Versicherer aber beibehalten.
Die praktische Konsequenz: Gehen Sie nicht davon aus, dass eine „Ausnahme für Kleinunternehmen" Sie schützt, ohne zu prüfen, ob Missouris konkreter Gesetzestext auf Ihre Mitarbeiterzahl und Ihren Lizenztyp zutrifft. Selbst ein Lizenznehmer, der für die Ausnahme nach Abschnitt 4 qualifiziert ist, unterliegt weiterhin den Anforderungen zur Untersuchung und Meldung von Datenschutzverletzungen — die Ausnahme verringert den Verwaltungsaufwand, sie befreit Sie nicht vom Gesetz. Wenn Ihre Agentur nahe an der Grenze liegt, lohnt sich ein Gespräch mit einem auf Versicherungen spezialisierten Anwalt oder Ihrem Berufsverband, bevor Sie annehmen, abgesichert zu sein.
Warum unabhängige Agenturen dem größten Risiko ausgesetzt sind
Versicherer betreiben bereits ausgereifte Cybersicherheitsprogramme, größtenteils weil sie in anderen Bundesstaaten schon seit Jahren ähnlichen Regeln unterliegen und weil sie das Budget für eigenes Sicherheitspersonal haben. Die Compliance-Lücke öffnet sich auf Ebene der unabhängigen Agentur — dem Zwei- oder Drei-Personen-Betrieb, der Kundenpolicen, Verlängerungen und Provisionsabrechnungen auf einem Laptop, in einem Agentur-Verwaltungssystem und über ein Gmail-Konto jongliert.
Dort liegt leider auch ein Großteil des tatsächlichen Risikos. Versicherungsagenturen verfügen über genau die Art von Daten, die Angreifer wollen: Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, Führerscheinnummern, teils medizinische Informationen im Zusammenhang mit Kranken- oder Lebensversicherungspolicen sowie Bankdaten für Prämienzahlungen. Eine einzige Phishing-E-Mail, die das E-Mail-Konto einer Agentur kompromittiert, kann Kundendaten aus Dutzenden Policen auf einmal offenlegen — und löst jetzt eine Vier-Werktage-Frist aus, gegen die die meisten Agenturen bisher noch nie antreten mussten.
Was vor dem 1. Januar zu tun ist
- Prüfen Sie, ob Ihre Agentur ausgenommen ist, basierend auf Missouris konkretem Mitarbeiterschwellenwert, und gehen Sie nicht davon aus, dass der allgemeine NAIC-Standardwert von 10 Mitarbeitern gilt, ohne den tatsächlich verabschiedeten Gesetzestext zu prüfen.
- Erstellen Sie ein Inventar der Verbraucherdaten, die Sie tatsächlich besitzen — welche Systeme sie enthalten, wer darauf zugreifen kann und ob Daten irgendwo gespeichert sind, wo sie nicht sein müssten.
- Verfassen Sie das Informationssicherheitsprogramm, auch wenn es für einen kleinen Betrieb nur wenige Seiten umfasst. Es muss existieren und auf Ihre tatsächliche Größe und Struktur zugeschnitten sein — nicht komplett aus der 40-seitigen Vorlage eines Versicherers übernommen.
- Entwerfen Sie einen Notfallreaktionsplan mit Namen, nicht nur mit Rollen — wer das Department of Commerce and Insurance anruft, wer betroffene Kunden kontaktiert, wer Ihren Berufshaftpflichtversicherer (Errors-and-Omissions) informiert.
- Überprüfen Sie die Verträge mit Dienstleistern für Ihr Agentur-Verwaltungssystem, Ihren E-Mail-Anbieter und jeden Cloud-Speicherdienst, und stellen Sie sicher, dass diese konkrete Sicherheitszusagen enthalten, auf die Sie sich berufen können.
- Tragen Sie die jährliche Überprüfung in den Kalender ein. Richten Sie jetzt eine wiederkehrende Erinnerung ein, damit „jährliche Tests" nicht stillschweigend zu „der Sache wird, die wir 2025 einmal gemacht und nie wieder angefasst haben".
Wo die Buchhaltung in die Compliance hineinspielt
Datensicherheit und Finanzbuchhaltung mögen wie getrennte Themen wirken, doch für eine Versicherungsagentur überschneiden sie sich stärker, als man erwarten würde. Provisionsabrechnungen, Treuhandkonten für Prämien und 1099-Formulare für Vermittler betreffen alle dieselben kundenbezogenen Finanzdaten, die HB 974 schützen soll — das bedeutet, die Systeme, mit denen Sie Ihre Finanzen verfolgen, sind Teil Ihrer Angriffsfläche in Sachen Datensicherheit, nicht davon getrennt.
Agenturen, die ihre Finanzunterlagen in einem undurchsichtigen, proprietären System führen, können eine grundlegende Compliance-Frage oft nicht schnell beantworten: Welcher Dienstleister hat Zugriff auf welche Finanzdaten, und woher stammt eine bestimmte Zahl eigentlich? Plain-Text-Accounting umgeht diese Unklarheit. Jede Transaktion liegt in einer versionskontrollierten, menschenlesbaren Ledger-Datei, die vollständig Ihnen gehört — keine Abhängigkeit von einem Anbieter, keine Black-Box-Datenbank, die im Falle eines Sicherheitsvorfalls selbst zu einem Prüfungsrisiko wird.
Halten Sie Ihre Finanzunterlagen so transparent wie Ihr Sicherheitsprogramm
Während Ihre Agentur die von HB 974 geforderten schriftlichen Richtlinien aufbaut, lohnt es sich, denselben Transparenzstandard auch auf Ihre Buchhaltung anzuwenden. Beancount.io bietet Plain-Text-Accounting, das Ihnen vollständige Einsicht und Kontrolle über Ihre Finanzdaten gibt — jeder Eintrag prüfbar, jede Änderung nachverfolgbar, ohne die Undurchsichtigkeit, die Vorfälle bei Dienstleistern schwerer untersuchbar macht. Kostenlos starten und entdecken Sie, warum finanzbewusste Kleinunternehmen zu Plain-Text-Accounting wechseln.