Hash-Generator & Prüfsummen-Checker

Berechne MD5, SHA-1, SHA-256, SHA-384 und SHA-512 für beliebigen Text oder Dateien auf einmal, erzeuge HMACs mit einem geheimen Schlüssel und prüfe eine Datei gegen eine veröffentlichte Prüfsumme.

Läuft im BrowserOhne AnmeldungKein Upload

Prüfsumme verifizieren

Anleitung: Hash-Generator

Gib Text ein oder füge ihn ein, oder wechsle zu Datei und ziehe eine Datei hinein. Große Dateien werden in Blöcken mit Fortschrittsbalken gelesen.
Alle fünf Hashes werden gleichzeitig berechnet. Wähle als Ausgabe Hex in Klein- oder Großbuchstaben oder Base64.
Aktiviere HMAC und gib einen geheimen Schlüssel ein (als Text, Hex oder Base64), um HMAC-SHA256 und die anderen HMAC-Varianten zu erhalten.
Um einen Download zu prüfen, füge die veröffentlichte Prüfsumme unter Prüfsumme verifizieren ein. Der passende Algorithmus wird hervorgehoben.

Was ist ein Hash?

Eine kryptografische Hashfunktion wandelt jede Eingabe in einen Fingerabdruck fester Länge um. Dieselbe Eingabe ergibt immer denselben Hash, eine Änderung um ein Byte ergibt einen völlig anderen, und aus einem Hash lässt sich die Eingabe nicht zurückgewinnen. Das macht Hashes ideal zum Prüfen der Dateiintegrität, für Cache-Keys, zur Deduplizierung von Daten und zum Signieren von Nachrichten.

Welchen Algorithmus sollte ich verwenden?

Algorithmus	Ausgabe	Einsatzzweck
MD5	128 Bit · 32 Hex	Nur für alte Prüfsummen und Cache-Keys ohne Sicherheitsbezug. Kollisionen lassen sich leicht erzeugen.
SHA-1	160 Bit · 40 Hex	Git-Objekt-IDs und Altsysteme. Seit 2017 nicht mehr kollisionsresistent.
SHA-256	256 Bit · 64 Hex	Die Standardwahl: Download-Prüfsummen, Signaturen, Blockchains, Signieren von API-Requests.
SHA-384 / SHA-512	384 / 512 Bit	Höhere Sicherheitsreserven; SHA-512 ist auf 64-Bit-CPUs oft schneller als SHA-256.

Verwende keinen davon zum Speichern von Passwörtern. Sie sind auf Geschwindigkeit ausgelegt, und das hilft Angreifern. Nutze stattdessen einen langsamen Passwort-Hash wie Argon2id, scrypt oder bcrypt.

Prüfsumme einer Datei verifizieren

Softwarehersteller veröffentlichen oft einen SHA-256-Wert neben jedem Download. Zieh die Datei hierher, füge den veröffentlichten Wert ein, und das Tool sagt dir, ob sie übereinstimmen. Du kannst die Zeile direkt aus einer SHA256SUMS-Datei einfügen; der Dateiname hinter dem Hash wird ignoriert. Entsprechende Befehle:

sha256sum file.iso          # Linux
shasum -a 256 file.iso      # macOS
certutil -hashfile file.iso SHA256   # Windows

Was ist HMAC?

HMAC (RFC 2104) mischt einen geheimen Schlüssel in den Hash, sodass nur jemand mit dem Schlüssel den Wert erzeugen oder prüfen kann. Webhooks von Stripe, GitHub und Slack werden mit HMAC-SHA256 signiert, und JWTs mit dem Algorithmus HS256 nutzen es ebenfalls. Füge den rohen Request-Body und dein Signing-Secret ein, um beim Debuggen eine Signatur nachzurechnen.

Häufig gestellte Fragen

Werden meine Dateien zum Berechnen des Hashs hochgeladen?

Nein. Text und Dateien werden lokal mit der Web Crypto API des Browsers (und einer eingebauten MD5-Implementierung) gehasht. Nichts verlässt dein Gerät.

Warum weicht mein Hash von dem eines anderen Tools ab?

Meist unterscheidet sich die Eingabe: ein Zeilenumbruch am Ende, Windows-Zeilenenden (CRLF statt LF) oder eine andere Textkodierung. Dieses Tool hasht Text als UTF-8 genau so, wie er eingegeben wurde, ohne Zeilenumbruch anzuhängen. Beachte, dass echo "text" | sha256sum einen Zeilenumbruch enthält; verwende echo -n.

Kann man einen Hash entschlüsseln?

Nein. Hashing ist eine Einwegfunktion. Seiten, die MD5 oder SHA-1 angeblich „entschlüsseln“, schlagen den Wert nur in Tabellen mit Hashes gängiger Eingaben nach. Deshalb ist es nicht sicher, kurze oder gängige Strings ohne Secret zu hashen.

Ist SHA-256 dasselbe wie SHA-2?

SHA-256 ist ein Mitglied der SHA-2-Familie, zu der auch SHA-224, SHA-384 und SHA-512 gehören. SHA-3 ist ein anderes, neueres Design.

Wie groß darf eine Datei zum Hashen sein?

Bis zu 2 GB, begrenzt durch den Browser-Speicher. Dateien werden in Blöcken von 4 MB mit Fortschrittsbalken gelesen, damit die Seite reaktionsfähig bleibt.