So funktioniert’s
- 1Wähle „Text“, um etwas Eingetipptes oder Eingefügtes zu hashen, oder „Datei“, um eine Datei von deinem Gerät zu hashen.
- 2Bei Text aktualisieren sich die Hashes während der Eingabe. Eine Datei ziehst du auf das Feld oder wählst sie über „Datei auswählen“ aus – bei großen Dateien erscheint ein Fortschrittsbalken.
- 3Klicke auf das Kopiersymbol neben dem Hash, den du brauchst. Aktiviere „Großbuchstaben“, wenn das andere System Großbuchstaben erwartet.
- 4Um einen Download zu prüfen, füge die vom Herausgeber veröffentlichte Prüfsumme unter „Mit Prüfsumme vergleichen“ ein. Die passende Zeile wird grün markiert.
Was ist ein Hash?
Eine Hashfunktion macht aus jeder Eingabe – einem Wort, einem Dokument, einem 4 GB großen Disk-Image – einen kurzen Fingerabdruck fester Länge. Dieselbe Eingabe ergibt immer denselben Hash, und schon ein einziges geändertes Bit ergibt einen völlig anderen. Deshalb eignen sich Hashes ideal, um zu prüfen, ob eine Datei unversehrt angekommen ist, und um Änderungen zu erkennen.
Hashing funktioniert nur in eine Richtung: Aus einem Hash lassen sich die Originaldaten nicht zurückgewinnen. Websites, die behaupten, MD5 zu „entschlüsseln“, schlagen den Hash einfach in riesigen Tabellen bereits gehashter Wörter und gängiger Passwörter nach.
Welchen Algorithmus du verwenden solltest
Nimm SHA-256, sofern nichts anderes verlangt wird – er ist schnell, wird überall unterstützt und ist sicher. SHA-384 und SHA-512 gehören zur selben SHA-2-Familie, liefern aber längere Werte. SHA3-256 ist der neuere SHA-3-Standard mit einem völlig anderen Aufbau – für Systeme, die ihn verlangen.
MD5 und SHA-1 gelten für Sicherheitszwecke als gebrochen: Forscher können zwei verschiedene Dateien mit demselben Hash erzeugen. Verlass dich bei Signaturen oder allem, was ein Angreifer manipulieren könnte, nicht auf sie. Um versehentliche Beschädigungen zu erkennen und die Prüfsummen älterer Websites abzugleichen, taugen sie aber weiterhin. CRC32 ist ein schneller Fehlererkennungscode, der in ZIP-Dateien und Netzwerkprotokollen verwendet wird – kein kryptografischer Hash.
Keiner dieser Algorithmen eignet sich zum Speichern von Passwörtern. Dafür braucht es ein absichtlich langsames Verfahren mit Salt wie bcrypt, scrypt oder Argon2.
So prüfst du einen Download
Viele Projekte veröffentlichen neben ihren Downloads eine Prüfsumme, oft in einer SHA256SUMS-Datei mit Zeilen wie e3b0c442… file.iso. Hashe die Datei nach dem Herunterladen hier und füge den veröffentlichten Wert in das Vergleichsfeld ein – die ganze Zeile funktioniert auch. Stimmen die Hashes überein, hast du genau die Datei, die der Herausgeber veröffentlicht hat; wenn nicht, lade sie erneut herunter.
Eine passende Prüfsumme beweist nur dann, dass die Datei echt ist, wenn die Prüfsumme selbst aus einer vertrauenswürdigen Quelle stammt – etwa von der Website des Projekts über HTTPS. Dateien werden auf deinem Gerät stückweise gelesen, sodass selbst mehrere Gigabyte große Images gehasht werden, ohne hochgeladen oder auf einmal in den Arbeitsspeicher geladen zu werden.
Häufige Fragen
Kann man einen Hash entschlüsseln?
Nein. Ein Hash ist ein Fingerabdruck in nur eine Richtung, keine Verschlüsselung – es gibt also keinen Schlüssel, der ihn zurückverwandelt. Kurze oder gängige Eingaben lassen sich manchmal finden, indem man den Hash in vorberechneten Tabellen nachschlägt. Deshalb ist der Hash eines einfachen Passworts kein Geheimnis.
Warum unterscheidet sich mein Hash von dem auf der Kommandozeile?
Meist wegen eines versteckten Zeilenumbruchs. echo "text" | sha256sum hasht den Text plus Zeilenumbruch; nutze stattdessen echo -n oder printf. Auch Windows-Zeilenenden, Leerzeichen am Ende und andere Textkodierungen verändern das Ergebnis. Dieses Tool hasht genau das, was im Feld steht, kodiert als UTF-8.
Ist MD5 noch sicher?
Nicht für Sicherheitszwecke. MD5-Kollisionen lassen sich auf einem gewöhnlichen Computer in Sekunden erzeugen, daher kann eine MD5-Prüfsumme nicht beweisen, dass eine Datei nicht manipuliert wurde. Um versehentliche Beschädigungen zu erkennen – oder wenn eine Website nur eine MD5-Prüfsumme veröffentlicht –, erfüllt MD5 aber weiterhin seinen Zweck.
Werden meine Dateien hochgeladen?
Nein. Dateien werden in deinem Browser mit WebAssembly gelesen und gehasht, und nichts wird an einen Server gesendet. Das Tool funktioniert sogar weiter, wenn du nach dem Laden der Seite offline gehst.
Wie ermittle ich den Hash einer Datei unter Windows, macOS oder Linux?
Unter Windows führst du certutil -hashfile file.iso SHA256 in der Eingabeaufforderung oder Get-FileHash file.iso in der PowerShell aus. Unter macOS nutzt du shasum -a 256 file.iso, unter Linux sha256sum file.iso.