Wissen · Tool-Anleitungen

SHA-256 berechnen und Hashes verstehen: MD5, SHA-256 und wofür sie gut sind

Ein Hash ist der digitale Fingerabdruck einer Datei — hier lesen Sie, wie Sie ihn berechnen und richtig deuten.

Sie laden ein Programm herunter, und auf der Downloadseite steht neben dem Link eine lange Zeichenkette mit der Bezeichnung «SHA-256». Oder jemand schickt Ihnen ein Dokument und behauptet, es sei «unverändert das Original». In beiden Fällen hilft dieselbe Technik: eine Prüfsumme, ein sogenannter Hash. Damit lässt sich in Sekunden feststellen, ob eine Datei exakt die ist, die sie sein soll — oder ob unterwegs auch nur ein einziges Byte anders ist. Sie müssen dafür weder Fachwissen noch spezielle Software haben.

Was ist ein Hash — und was nicht

Eine Hash-Funktion nimmt eine beliebige Eingabe — einen Text, eine Datei, ein ganzes Betriebssystem-Image — und erzeugt daraus eine Zeichenkette mit fester Länge. Diese Zeichenkette nennt man Hash, Prüfsumme oder Fingerabdruck. Drei Eigenschaften machen sie nützlich:

• Immer gleich: Dieselbe Eingabe ergibt immer denselben Hash. Auf jedem Gerät, zu jeder Zeit.
• Einbahnstrasse: Aus dem Hash lässt sich die ursprüngliche Datei nicht zurückrechnen. Ein Hash ist keine Verschlüsselung — er verschlüsselt nichts, er beschreibt nur.
• Lawineneffekt: Ändert sich in der Eingabe ein einziges Zeichen, sieht der ganze Hash völlig anders aus. Das macht Manipulationen sichtbar.

Genau deshalb eignen sich Hashes zum Prüfen von Integrität: gleiche Datei, gleicher Hash. Was ein Hash dagegen nicht ist: ein Beweis dafür, dass eine Datei harmlos oder vertrauenswürdig ist. Er sagt nur etwas über Gleichheit aus, nicht über den Inhalt selbst.

MD5, SHA-1, SHA-256, SHA-512 — welche wofür

Die Namen bezeichnen verschiedene Verfahren, die sich vor allem in der Länge des Ergebnisses und in ihrer Sicherheit unterscheiden. Kurz zusammengefasst:

• MD5 (32 Zeichen) und SHA-1 (40 Zeichen): alt, schnell, aber für Sicherheitszwecke geknackt. Fachleute können gezielt zwei verschiedene Dateien mit demselben MD5- oder SHA-1-Hash erzeugen (eine «Kollision»). Für Sicherheit ungeeignet — als grobe Fehlerprüfung noch anzutreffen.
• SHA-256 (64 Zeichen): der heutige Standard. Bietet ein gutes Verhältnis aus Sicherheit und Tempo und wird von fast allen seriösen Anbietern für Download-Prüfsummen verwendet.
• SHA-512 (128 Zeichen): noch länger, gleiche Familie wie SHA-256, üblich bei besonders hohen Anforderungen.

Ein konkretes Beispiel macht den Lawineneffekt greifbar. Derselbe Text, einmal mit den vier Verfahren berechnet — und darunter, was passiert, wenn man nur eine Ziffer ändert:

Die beiden SHA-256-Werte haben nichts gemeinsam, obwohl sich die Eingabe nur um eine einzige Ziffer unterscheidet. Genau das ist der Punkt: Man kann keine zwei ähnlichen Dateien an ähnlichen Hashes erkennen — entweder der Hash stimmt exakt, oder die Dateien sind verschieden.

SHA-256 berechnen — lokal, ohne Upload

Um eine SHA-256 zu berechnen, brauchen Sie nichts hochzuladen. Der Hash-Rechner läuft direkt im Browser: Sie fügen einen Text ein oder wählen eine Datei aus, und MD5, SHA-1, SHA-256 und SHA-512 werden auf Ihrem eigenen Gerät gerechnet. Die Datei verlässt Ihren Rechner nicht — das ist wichtig, wenn es um vertrauliche Dokumente geht.

Der typische Ablauf beim Prüfen eines Downloads: Der Anbieter veröffentlicht neben der Datei deren SHA-256. Sie laden die Datei herunter, berechnen den Hash selbst und vergleichen beide Zeichenketten. Sind sie identisch, ist die Datei bit-genau die veröffentlichte. Weicht auch nur ein Zeichen ab, brechen Sie die Installation ab. Wenn Sie eine solche Prüfung nicht selbst durchführen möchten, kann der KI-Agent die Recherche und den Abgleich im Auftrag übernehmen und das Ergebnis erklären.