Wie prüfe ich die SHA-256-Prüfsumme einer Datei?

Wählen Sie Dateien, ziehen Sie die Datei hierher und lassen Sie SHA-256 ausgewählt. Fügen Sie die veröffentlichte Prüfsumme in das Feld für die erwartete Prüfsumme ein, und der Hashwert wird hervorgehoben, wenn er übereinstimmt.

Nicht für Sicherheitszwecke. Kollisionen bei MD5 und SHA-1 lassen sich gezielt erzeugen, sie schützen also nicht vor Manipulation. Um versehentliche Beschädigung zu erkennen oder eine alte Prüfsumme abzugleichen, sind sie weiterhin akzeptabel.

Kann man einen Hash umkehren oder entschlüsseln?

Nein. Ein Hash ist eine Einwegfunktion. Websites, die behaupten, MD5 umzukehren, schlagen den Hashwert nur in Tabellen mit Hashes häufiger Eingaben nach – deshalb schützt Hashen kurze oder gängige Eingaben nicht.

Sollte ich SHA-256 zum Speichern von Passwörtern verwenden?

Nein. Verwenden Sie eine eigens dafür gedachte Passwort-Hashfunktion wie Argon2id, bcrypt oder scrypt. Sie sind absichtlich langsam und gesalzen, was das Knacken geleakter Passwörter erheblich erschwert.

Kann ich sehr große Dateien hashen?

Ja. Dateien werden in Ihrem Browser jeweils einige Megabyte am Stück gelesen, sodass sich mehrere Gigabyte große Dateien mit wenig Speicher hashen lassen. Die Geschwindigkeit hängt von Festplatte und Prozessor ab.

Warum erhalte ich für denselben Text einen anderen Hash?

Unsichtbare Unterschiede verändern den Hash: ein abschließender Zeilenumbruch, Windows- (CRLF) statt Unix-Zeilenenden (LF) oder eine andere Textkodierung. Dieses Tool hasht Text als UTF-8 genau so, wie er im Feld steht.

Was ist der Unterschied zwischen einem Hash und einem HMAC?

Ein Hash hängt nur von den Daten ab, jeder kann ihn also berechnen. Ein HMAC hängt zusätzlich von einem geheimen Schlüssel ab, sodass nur jemand mit dem Schlüssel ihn erzeugen oder prüfen kann. Webhooks und API-Signaturen verwenden HMACs.

Werden meine Dateien hochgeladen?

Nein. Das Hashen läuft in einem WebAssembly-Worker in Ihrem Browser. Dateien und Text verlassen Ihr Gerät nie.

Hash-Generator & Prüfsummenrechner

MD5, SHA-1, SHA-256, SHA-512, SHA-3, BLAKE3 und CRC32 für Text und Dateien. Alles läuft lokal — nichts wird hochgeladen.

Eingang: Text · files of any size
Ausgang: Hex digests · checksum match

Text

43 B · UTF-8

Hashwerte

wird gehasht …

MD5…
SHA-1…
SHA-256…
SHA-512…

Hashes und Prüfsummen für Text und Dateien, berechnet auf Ihrem Gerät

Dieser Hash-Generator berechnet MD5-, SHA-1-, SHA-224-, SHA-256-, SHA-384-, SHA-512-, SHA3-256-, SHA3-512-, BLAKE3- und CRC32-Werte für Text schon beim Tippen oder für Dateien jeder Größe, alle auf einmal. Fügen Sie die Prüfsumme ein, die eine Download-Seite veröffentlicht, und er sagt Ihnen, ob Ihre Datei übereinstimmt. Dateien werden in Blöcken in Ihrem Browser gelesen, sodass selbst mehrere Gigabyte große Disk-Images gehasht werden, ohne irgendwohin hochgeladen zu werden.

So erzeugen Sie einen Hash oder prüfen eine Prüfsumme

Wählen Sie Text, um das Getippte zu hashen, oder Dateien, um eine oder mehrere Dateien zu hashen.
Wählen Sie die benötigten Algorithmen. MD5, SHA-1, SHA-256 und SHA-512 sind zu Beginn ausgewählt.
Ziehen Sie eine Datei auf die Seite. Ein Fortschrittsbalken zeigt, wie jede Datei gelesen wird; die Hashwerte erscheinen, wenn sie fertig ist.
Um einen Download zu prüfen, fügen Sie die veröffentlichte Prüfsumme in das Feld Erwartete Prüfsumme ein. Der passende Algorithmus und die passende Datei werden grün hervorgehoben.
Kopieren Sie einen beliebigen Hashwert, wechseln Sie zwischen Hex in Klein- und Großbuchstaben und Base64, oder exportieren Sie eine Prüfsummendatei im Stil von .sha256 für alle Ihre Dateien.

Was ein Hash ist

Eine kryptografische Hashfunktion verwandelt jede Eingabe – ein Wort, ein Dokument, eine 4 GB große ISO – in einen kurzen Fingerabdruck fester Länge. Dieselbe Eingabe ergibt immer denselben Hashwert, und die Änderung eines einzigen Bits der Eingabe verändert den Hashwert vollständig. Ein guter Hash ist außerdem eine Einwegfunktion: Aus dem Hashwert lässt sich die Eingabe nicht zurückrechnen, und es lassen sich keine zwei Eingaben mit demselben Hashwert finden.

Das macht Hashes nützlich für Integritätsprüfungen. Wenn der SHA-256 der heruntergeladenen Datei dem SHA-256 entspricht, den der Herausgeber nennt, ist die Datei Byte für Byte das, was veröffentlicht wurde, und kein abgebrochener Download oder eine manipulierte Kopie. Hashes identifizieren außerdem Inhalte in Git, deduplizieren Dateien in Backups und signieren Daten zusammen mit einem Schlüssel.

Welchen Algorithmus sollte ich verwenden?

SHA-256: Heute die Standardwahl: sicher, überall unterstützt und das, was die meisten Download-Seiten, Paketmanager und Zertifikate verwenden.
SHA-384 / SHA-512: Längere Mitglieder der SHA-2-Familie. SHA-512 ist auf 64-Bit-Rechnern oft schneller als SHA-256. SHA-384 ist bei Subresource-Integrity-Werten üblich.
SHA3-256 / SHA3-512: Eine andere Konstruktion (Keccak), 2015 standardisiert, als Rückfallebene, falls SHA-2 je geschwächt wird. Sicher, aber weniger verbreitet.
BLAKE3: Ein moderner, sehr schneller sicherer Hash, beliebt für Datei-Prüfsummen und inhaltsbasierte Adressierung in neueren Tools.
MD5 und SHA-1: Für Sicherheitszwecke gebrochen: Forscher können verschiedene Dateien mit demselben Hashwert erzeugen. Weiterhin brauchbar, um versehentliche Beschädigung zu erkennen und alte Prüfsummen abzugleichen, aber verlassen Sie sich nie gegen einen Angreifer darauf.
CRC32: Ein 32-Bit-Fehlererkennungscode, kein kryptografischer Hash. Wird in ZIP, PNG und Ethernet verwendet, um versehentliche Schäden zu erkennen; absichtlich zu fälschen ist er trivial.

Eine heruntergeladene Datei prüfen

Download-Seiten für Betriebssysteme und Software veröffentlichen oft eine Prüfsumme neben der Datei oder eine SHA256SUMS-Datei. Ziehen Sie Ihren Download hierher, fügen Sie den veröffentlichten Wert in das Feld für die erwartete Prüfsumme ein, und der passende Hashwert leuchtet auf. Der Vergleich ignoriert Groß-/Kleinschreibung und umgebende Leerzeichen und akzeptiert eine ganze sha256sum-Zeile oder einen sha384-…-Integrity-Wert unverändert.

Eine Übereinstimmung beweist, dass die Datei intakt ist, aber nur dann, dass sie echt ist, wenn Sie die Prüfsumme aus einer vertrauenswürdigen Quelle haben – idealerweise per HTTPS von der Website des Herausgebers oder mit einer Signatur. Ein Angreifer, der die Datei auf einem Mirror austauschen kann, kann womöglich auch die Prüfsumme daneben austauschen.

Die exportierte Prüfsummendatei verwendet das übliche Layout <digest> <filename>, sodass sha256sum -c checksums.sha256 unter Linux und macOS sie später prüfen kann.

Passwörter hashen? Nehmen Sie einen Passwort-Hash

Allzweck-Hashes wie MD5, SHA-1 und selbst SHA-256 sind auf Geschwindigkeit ausgelegt, was für Passwörter genau falsch ist: Ein Angreifer mit einer GPU kann Milliarden Versuche pro Sekunde gegen eine geleakte Liste fahren. Speichern Sie Passwörter mit einer langsamen, gesalzenen Passwort-Hashfunktion wie Argon2id, bcrypt oder scrypt, über die eingebaute Unterstützung Ihres Frameworks. Um überhaupt erst starke Passwörter oder Schlüssel zu erzeugen, nutzen Sie den Passwort-Generator.

Um eine Nachricht mit einem gemeinsamen Geheimnis zu authentifizieren, etwa bei einer Webhook-Signatur, verwenden Sie einen HMAC, statt Geheimnis und Nachricht selbst zusammen zu hashen. Der HMAC-Tab berechnet HMAC-SHA256, HMAC-SHA384 und HMAC-SHA512 mit der Web Crypto API Ihres Browsers.

Häufige Fragen

Wie prüfe ich die SHA-256-Prüfsumme einer Datei?: Wählen Sie Dateien, ziehen Sie die Datei hierher und lassen Sie SHA-256 ausgewählt. Fügen Sie die veröffentlichte Prüfsumme in das Feld für die erwartete Prüfsumme ein, und der Hashwert wird hervorgehoben, wenn er übereinstimmt.
Ist MD5 noch sicher?: Nicht für Sicherheitszwecke. Kollisionen bei MD5 und SHA-1 lassen sich gezielt erzeugen, sie schützen also nicht vor Manipulation. Um versehentliche Beschädigung zu erkennen oder eine alte Prüfsumme abzugleichen, sind sie weiterhin akzeptabel.
Kann man einen Hash umkehren oder entschlüsseln?: Nein. Ein Hash ist eine Einwegfunktion. Websites, die behaupten, MD5 umzukehren, schlagen den Hashwert nur in Tabellen mit Hashes häufiger Eingaben nach – deshalb schützt Hashen kurze oder gängige Eingaben nicht.
Sollte ich SHA-256 zum Speichern von Passwörtern verwenden?: Nein. Verwenden Sie eine eigens dafür gedachte Passwort-Hashfunktion wie Argon2id, bcrypt oder scrypt. Sie sind absichtlich langsam und gesalzen, was das Knacken geleakter Passwörter erheblich erschwert.
Kann ich sehr große Dateien hashen?: Ja. Dateien werden in Ihrem Browser jeweils einige Megabyte am Stück gelesen, sodass sich mehrere Gigabyte große Dateien mit wenig Speicher hashen lassen. Die Geschwindigkeit hängt von Festplatte und Prozessor ab.
Warum erhalte ich für denselben Text einen anderen Hash?: Unsichtbare Unterschiede verändern den Hash: ein abschließender Zeilenumbruch, Windows- (CRLF) statt Unix-Zeilenenden (LF) oder eine andere Textkodierung. Dieses Tool hasht Text als UTF-8 genau so, wie er im Feld steht.
Was ist der Unterschied zwischen einem Hash und einem HMAC?: Ein Hash hängt nur von den Daten ab, jeder kann ihn also berechnen. Ein HMAC hängt zusätzlich von einem geheimen Schlüssel ab, sodass nur jemand mit dem Schlüssel ihn erzeugen oder prüfen kann. Webhooks und API-Signaturen verwenden HMACs.
Werden meine Dateien hochgeladen?: Nein. Das Hashen läuft in einem WebAssembly-Worker in Ihrem Browser. Dateien und Text verlassen Ihr Gerät nie.