Berechne die vier gängigsten Prüfsummen eines beliebigen Textes oder einer Datei auf einmal. SHA-1, SHA-256 und SHA-512 liefert die native Web Crypto API des Browsers — dieselbe hardwarebeschleunigte Implementierung, die auch TLS nutzt — während MD5 für den Abgleich alter Prüfsummen enthalten ist. Tippe in das Feld oder wähle eine Datei: Jeder Hash erscheint sofort und lässt sich mit einem Klick in klein- oder großgeschriebenem Hexadezimal kopieren. Die Datei wird lokal über die File API gelesen und nie hochgeladen.
So erzeugst du einen Hash
- 1 Schreibe oder füge deinen Text ein — oder wähle stattdessen eine Datei.
- 2 Alle vier Prüfsummen werden beim Tippen sofort berechnet.
- 3 Schalte Großbuchstaben ein, wenn das Zielsystem sie erwartet.
- 4 Klicke neben der gewünschten Prüfsumme auf Kopieren.
Welche Algorithmen wo laufen
SHA-1, SHA-256 und SHA-512 stammen aus der Web-Crypto-API über crypto.subtle.digest. Das ist die kryptografische Implementierung des Browsers selbst — auf den meisten Prozessoren hardwarebeschleunigt, als Teil des Browsers geprüft und ohne jeden Zuwachs beim Seitengewicht. MD5 gehört nicht zu Web Crypto, weil Browser es als gebrochenen Algorithmus bewusst ausgeschlossen haben; es liegt hier daher als kleine, eigenständige Implementierung bei — für das Einzige, wofür es noch legitim genutzt wird: den Abgleich mit einer Prüfsumme, die jemand veröffentlicht hat, der nicht weitergezogen ist.
Ein feines Detail betrifft den Umgang mit Dateibytes. Manche Datei-Leser geben eine Sicht auf einen größeren gemeinsamen Puffer zurück statt eines exakt bemessenen; diese Sicht direkt zu hashen würde auch die umliegenden Bytes einbeziehen und ein falsches, aber völlig plausibel wirkendes Ergebnis liefern. Die Bytes werden deshalb vor dem Hashen in einen frischen, exakt bemessenen Puffer kopiert. Digests kommen als Hexadezimal in Kleinbuchstaben zurück — genau das, was Prüfsummendateien und Verifikationsseiten fast immer veröffentlichen.
Text wird vor dem Hashen als UTF-8 kodiert, sodass Umlaute und Emojis hier denselben Digest ergeben wie in jedem korrekt umgesetzten Werkzeug. Ein Hash ist nicht umkehrbar: Er ist eine Einwegfunktion, die einen Fingerabdruck fester Länge erzeugt, und der einzige Weg zur Eingabe eines gegebenen Digests besteht darin, Eingaben zu raten, bis eine passt.
Wofür Hashes tatsächlich da sind
Einen Download prüfen
Ein Projekt veröffentlicht den SHA-256 seines Installers. Hashe die heruntergeladene Datei und vergleiche: Stimmen die Digests überein, ist die Datei Byte für Byte die veröffentlichte und wurde unterwegs weder beschädigt noch manipuliert.
Prüfen, ob zwei Dateien identisch sind
Digests zu vergleichen ist weit schneller, als mehrere Gigabyte große Dateien zu vergleichen, und funktioniert auch, wenn die Kopien auf verschiedenen Rechnern liegen. Gleiche Digests bedeuten gleichen Inhalt.
Stille Beschädigung erkennen
Ein Archiv beim Ablegen und Jahre später erneut zu hashen deckt Bitfäule auf ausfallenden Laufwerken auf — jene Art Schaden, die keine Fehlermeldung erzeugt, bis du die Datei öffnen willst.
Cache-Schlüssel und Deduplizierung
Ein Inhalts-Hash liefert eine stabile Kennung für eine Datei — so benennen Build-Werkzeuge Assets und so vermeiden Backup-Systeme, dieselbe Datei zweimal zu speichern.
Wofür Hashes gut sind
Ein Hash ist der Fingerabdruck fester Länge von Daten: Dieselbe Eingabe ergibt immer dieselbe Prüfsumme, und jede Änderung — schon ein einzelnes Byte — ergibt eine völlig andere. Deshalb sind Hashes der Standardweg, um einen Download zu verifizieren, zwei Dateien ohne Öffnen zu vergleichen, Duplikate zu finden oder eine Übertragung auf Vollständigkeit zu prüfen. Für Integrität und Sicherheit wähle SHA-256 oder SHA-512; MD5 und SHA-1 gelten als kryptografisch gebrochen und sollten nur zum Abgleich mit Prüfsummen alter Systeme dienen, nie zum Schutz von Passwörtern oder zum Signieren.
Ernste Warnungen zu den schwachen Algorithmen
Zwei der vier hier angebotenen Algorithmen sind für Sicherheitszwecke gebrochen. Sie sind aus Kompatibilität enthalten, nicht als Empfehlung:
- MD5 ist umfassend gebrochen. Kollisionen — zwei verschiedene Eingaben mit demselben Digest — lassen sich auf einem Laptop in Sekunden erzeugen. Nutze es nur zum Abgleich mit einer alten Prüfsumme, nie zur Prüfung, ob eine Datei von jemandem manipuliert wurde, der sie manipulieren wollte.
- SHA-1 ist ebenfalls gebrochen. 2017 wurde eine praktische Kollision demonstriert, und alle großen Browser und Zertifizierungsstellen haben es aufgegeben. Behandle es genau wie MD5: nur für Altbestände.
- Kein Hash auf dieser Seite eignet sich zum Speichern von Passwörtern. Passwortspeicherung braucht einen absichtlich langsamen, dafür entworfenen Algorithmus — bcrypt, scrypt oder Argon2 —, denn schnelle Hashes machen auch Brute-Force-Angriffe schnell. SHA-256 ist konstruktionsbedingt schnell, also genau die falsche Eigenschaft.
- Ein übereinstimmender Hash beweist, dass die Bytes übereinstimmen, nicht dass die Quelle vertrauenswürdig ist. Kontrolliert ein Angreifer auch die Seite, die die Prüfsumme veröffentlicht, stimmen beide überein.
- Sehr große Dateien sind durch den Speicher begrenzt, da die Datei vor dem Hashen in den Tab gelesen werden muss.
Fehlerbehebung
- Mein Hash stimmt nicht mit dem veröffentlichten überein
- Prüfe zuerst den Algorithmus — ein SHA-256-Digest wird nie zu einem veröffentlichten SHA-512 passen. Prüfe dann per Dateigrößenvergleich auf einen abgebrochenen oder unvollständigen Download. Stimmt beides, unterscheidet sich die Datei tatsächlich von der veröffentlichten und du solltest sie nicht ausführen.
- Derselbe Text ergibt anderswo einen anderen Hash
- Fast immer ein abschließender Zeilenumbruch oder abweichende Zeilenenden. Viele Werkzeuge hashen eine Datei, die mit einem Zeilenumbruch endet, eingefügter Text hingegen nicht, und ein Windows-CRLF unterscheidet sich von einem Unix-LF. Ein einziges unsichtbares Byte verändert den gesamten Digest.
- Eine große Datei zu hashen ist langsam oder schlägt fehl
- Die Datei muss vollständig in den Browser-Tab gelesen werden. Mehrere Gigabyte können den verfügbaren Speicher erschöpfen. Dafür streamt ein Kommandozeilenwerkzeug — sha256sum unter Linux, shasum unter macOS, certutil -hashfile unter Windows — die Datei stattdessen.
Häufige Fragen
Wird meine Datei zum Hashen hochgeladen?
Nein. Die Datei wird lokal über die File API des Browsers gelesen und auf deinem Gerät gehasht. Es wird nichts übertragen, die Größe begrenzt also nur dein eigener Arbeitsspeicher.
Warum ist MD5 als veraltet markiert?
MD5 und SHA-1 sind anfällig für Kollisionsangriffe, und Browser bieten MD5 über Web Crypto gar nicht mehr an. Für den Abgleich von Prüfsummen älterer Systeme bleiben sie nützlich, nie jedoch für Passwörter, Signaturen oder Sicherheitsentscheidungen.
Kann ich damit ein Passwort hashen?
Möglich, aber so gespeichert werden sollte es nicht. Passwörter brauchen ein langsames, gesalzenes Verfahren wie bcrypt, scrypt oder Argon2 — ein reiner SHA-Hash ist viel zu schnell, um sicher zu sein.
Lässt sich ein Hash umkehren, um das Original zurückzubekommen?
Nein. Hashing ist einseitig und verwirft Information — ein Digest hat feste 256 Bit, ob die Eingabe ein Zeichen oder ein Gigabyte war. Was „Hash-Knack"-Dienste tatsächlich tun, ist den Digest in einer vorberechneten Tabelle gängiger Eingaben nachzuschlagen: Das klappt bei „password123" und bei nichts Unvorhersehbarem.
Welchen Algorithmus soll ich nehmen?
SHA-256 für praktisch alles. Er ist der aktuelle Standard, überall unterstützt, und es existiert kein praktischer Angriff dagegen. SHA-512 ist eine vernünftige Wahl für die Langzeitarchivierung und auf 64-Bit-Prozessoren mitunter schneller. Nimm MD5 oder SHA-1 nur, wenn du zu einer bereits von jemand anderem veröffentlichten Prüfsumme passen musst.
Warum tragen MD5 und SHA-1 hier eine Warnung?
Weil es irreführend wäre, alle vier Algorithmen als gleichwertig darzustellen. Bei beiden lassen sich Kollisionen trivial konstruieren, ein Angreifer kann also eine bösartige Datei mit demselben Digest wie eine legitime bauen. Nützlich bleiben sie zum Erkennen zufälliger Beschädigung und zum Abgleich alter veröffentlichter Prüfsummen — sonst zu nichts.