MD5 und SHA-1 sind für Passwörter nicht sicher; zum Speichern bcrypt, scrypt oder Argon2 verwenden.
SHA-256 ist die Standard-Prüfsumme für Software-Downloads, Bitcoin und TLS-Zertifikate: 256 Bit, 64 Hexzeichen. SHA-256 von abc ergibt ba7816bf 8f01cfea 414140de 5dae2223 b00361a3 96177a9c b410ff61 f20015ad, den Testvektor aus FIPS 180-4. Datei ablegen und mit der Ausgabe von sha256sum vergleichen.
Anleitung
- Text eingeben oder einfügen: Alle Hashes aktualisieren sich beim Tippen.
- Oder zu Dateien wechseln und eine oder mehrere Dateien beliebiger Größe ablegen. Sie werden blockweise mit Fortschrittsbalken gelesen.
- Auf einen Hash tippen, um ihn zu kopieren. Mit Großbuchstaben oder Base64 das Ausgabeformat ändern.
- HMAC aktivieren und einen geheimen Schlüssel eingeben, um HMAC-Signaturen statt einfacher Hashes zu erhalten.
- Erwarteten Hash bei Prüfen einfügen: Die passende Zeile wird markiert, sonst erscheint „Keine Übereinstimmung“.
- Die Berechnung läuft per WebAssembly im Browser. Texte, Dateien und Schlüssel werden nie hochgeladen.
- Text wird als UTF-8-Bytes gehasht, genau wie eingegeben, inklusive Leerzeichen und Zeilenumbrüchen.
- MD5 und SHA-1 taugen als Prüfsumme, sind aber nicht mehr sicher. Für Sensibles SHA-256, SHA-3 oder BLAKE3 nutzen, für Passwörter bcrypt oder Argon2.
- HMAC funktioniert mit MD5, SHA-1, SHA-2 und SHA-3. BLAKE2b, BLAKE3 und CRC32 sind bei aktivem HMAC ausgeblendet.
- Die Prüfung ignoriert Groß-/Kleinschreibung und Leerzeichen und akzeptiert auch Base64-Werte.
Wozu ein Hash dient
Eine kryptografische Hashfunktion macht aus beliebigen Daten einen Fingerabdruck fester Länge. Gleiche Bytes ergeben immer denselben Hash, und ein einziges geändertes Bit kippt rund die Hälfte der Ausgabebits. SHA-256 des Wortes hello ist 2cf24dba 5fb0a30e 26e83b2a c5b9e29e 1b161e5c 1fa7425e 73043362 938b9824 (Leerzeichen nur zur besseren Lesbarkeit); Hello mit großem H ergibt einen völlig anderen Wert.
Typische Anwendungen sind der Abgleich von Downloads mit einer veröffentlichten Prüfsumme, das Finden doppelter Dateien, inhaltsadressierte Speicherung wie bei Git und das Signieren von API-Anfragen mit HMAC. Text wird als UTF-8-Bytes genau so gehasht, wie er eingegeben wurde; ein Leerzeichen am Ende oder ein Windows-Zeilenende ändert das Ergebnis.
Welcher Algorithmus passt
Für MD5 (128 Bit) und SHA-1 (160 Bit) gibt es praktische Kollisionsangriffe: gut, um versehentliche Beschädigung zu erkennen, aber nicht für Sicherheit. SHA-256 und SHA-512 (FIPS 180-4) sind die sichere Standardwahl für Prüfsummen und Signaturen. SHA-3 (FIPS 202) folgt einem anderen Bauprinzip und dient als Reserve zu SHA-2. BLAKE3 ist ein neuerer Hash, der bei großen Dateien sehr schnell ist. CRC32 ist ein 32-Bit-Fehlererkennungscode aus ZIP, PNG und Ethernet; er findet Übertragungsfehler, lässt sich aber leicht fälschen.
Hashen ist kein Verschlüsseln
Ein Hash lässt sich nicht zurückrechnen. Kurze oder häufige Eingaben kann man trotzdem durch Raten finden. Darum speichert man Passwörter mit einer langsamen, gesalzenen Funktion wie Argon2, scrypt oder bcrypt statt mit reinem SHA-256. HMAC (RFC 2104) mischt einen geheimen Schlüssel in den Hash, sodass nur, wer den Schlüssel kennt, die Signatur erzeugen oder prüfen kann.
Häufige Fragen
Wie prüfe ich die Prüfsumme einer Datei?
Zu Dateien wechseln, die heruntergeladene Datei ablegen und die veröffentlichte Prüfsumme in Prüfen einfügen. Die passende Algorithmuszeile wird hervorgehoben; passt keine, ist die Datei anders oder beschädigt.
Kann man einen Hash entschlüsseln?
Nein. Ein Hash ist eine Einwegfunktion. Kurze Eingaben wie gängige Passwörter lassen sich durch viele Versuche finden, aber es gibt keinen Schlüssel, der aus dem Hash die Originaldaten macht.
Ist MD5 noch sicher?
Nur für Aufgaben ohne Sicherheitsanspruch, etwa um versehentliche Änderungen oder doppelte Dateien zu erkennen. Verschiedene Dateien mit gleichem MD5 lassen sich gezielt erzeugen; für Signaturen und Schutz vor Manipulation SHA-256 oder neuer verwenden.
Was unterscheidet SHA-256 von SHA-512?
SHA-256 liefert 256 Bit (64 Hexzeichen), SHA-512 liefert 512 Bit (128 Hexzeichen). Beide gehören zu SHA-2 und gelten als sicher; SHA-512 ist auf 64-Bit-Prozessoren oft sogar schneller.
Werden meine Dateien zum Hashen hochgeladen?
Nein. Dateien werden im Browser stückweise gelesen und per WebAssembly gehasht. Auch mehrere Gigabyte große Dateien verlassen dein Gerät nicht.
Warum weicht mein Hash von dem in meinem Code ab?
Meist unterscheiden sich die Eingabebytes: ein zusätzlicher Zeilenumbruch, eine andere Textkodierung oder Hex statt Base64 in der Ausgabe. Leerzeichen und Zeilenenden prüfen und im selben Format vergleichen.