Wird mein Text auf einen Server hochgeladen?

Nein. Jede Prüfsumme wird in Ihrem Browser mit der Web Crypto API (crypto.subtle.digest) berechnet. Ihr Text wird nirgendwohin gesendet, und das Tool funktioniert weiter, wenn Sie nach dem Laden der Seite offline gehen.

Was ist ein kryptografischer Hash?

Eine Funktion, die Eingaben beliebiger Länge in eine Prüfsumme fester Länge umwandelt. Sie ist deterministisch, nicht umkehrbar und reagiert auf jedes Bit der Eingabe. Hashes dienen unter anderem der Prüfung der Dateiintegrität, digitalen Signaturen und Commit-Kennungen.

Welchen Hash-Algorithmus sollte ich verwenden?

Für fast alles SHA-256. SHA-384 und SHA-512 liefern längere Prüfsummen aus derselben Familie. Verwenden Sie SHA-1 nur, wenn ein Altsystem es verlangt, und niemals für Sicherheitszwecke.

Nicht für Sicherheitszwecke. Der Angriff SHAttered aus dem Jahr 2017 erzeugte zwei verschiedene PDF-Dateien mit derselben SHA-1-Prüfsumme, und das NIST empfiehlt, es bis Ende 2030 auslaufen zu lassen. Für Prüfsummen ohne Sicherheitsanspruch, bei denen kein Angreifer im Spiel ist, bleibt es akzeptabel.

Warum gibt es keine MD5-Option?

Die Web Crypto API implementiert MD5 nicht, und das Tool verwendet nur, was der Browser bereitstellt. MD5 ist seit vielen Jahren für Sicherheitszwecke ungeeignet.

Kann ich mit diesem Tool eine Datei hashen?

Nein, es akzeptiert nur Text. Verwenden Sie für Dateien das Kommandozeilenwerkzeug Ihres Betriebssystems, wie oben beschrieben.

Warum weicht mein SHA-256 von dem einer anderen Seite ab?

Fast immer unterscheidet sich die Eingabe um ein unsichtbares Zeichen, etwa einen abschließenden Zeilenumbruch oder ein Leerzeichen, oder um eine andere Textkodierung. Prüfen Sie die genauen Bytes mit dem Hex-Konverter.

Hash-Generator (SHA-256)

Geben Sie Text ein oder fügen Sie ihn ein und berechnen Sie mit einem Klick seine SHA-256-, SHA-1-, SHA-384- und SHA-512-Hashes, als Hexadezimalzahl in Klein- oder Großbuchstaben, mit einer Kopierschaltfläche für jeden Wert. Das Hashing nutzt die Web Crypto API auf den UTF-8-Bytes des Textes, daher wird nichts hochgeladen. Kostenlos, ohne Anmeldung. Es hasht nur Text, keine Dateien.

Zu hashender Text

Hexadezimal in Großbuchstaben

So verwenden Sie den Hash-Generator

1. Geben Sie Ihren Text ein. Beliebiger Text, bis zu dem, was Ihr Browser in einem Textfeld speichern kann.
2. Klicken Sie auf Hashes erstellen. Alle vier Prüfsummen erscheinen gemeinsam, wobei SHA-256 als empfohlene Variante hervorgehoben wird.
3. Wählen Sie die Schreibweise. Hexadezimal in Großbuchstaben wechselt jede Prüfsumme zwischen Klein- (üblich) und Großbuchstaben; die zugrunde liegenden Bytes sind dieselben.
4. Kopieren Sie die benötigte Prüfsumme mit der Schaltfläche daneben.

Die vier Algorithmen

SHA-1, SHA-256, SHA-384 und SHA-512 sind im Secure Hash Standard der US-Regierung definiert, FIPS 180-4. Jeder wandelt eine beliebige Eingabe in eine Prüfsumme fester Größe um. Die Größe ist der einzige sichtbare Unterschied in der Ausgabe:

Algorithmus	Größe der Prüfsumme	Hex-Zeichen	Status
SHA-1	160 Bit	40	Für die Sicherheit gebrochen: Die erste praktische Kollision wurde 2017 veröffentlicht, und das NIST empfiehlt, es bis 2030 auslaufen zu lassen. Nur noch für veraltete Prüfsummen.
SHA-256	256 Bit	64	Die Standardwahl für Integritätsprüfungen und Signaturen
SHA-384	384 Bit	96	SHA-2-Familie; ein gekürztes SHA-512
SHA-512	512 Bit	128	SHA-2-Familie; auf 64-Bit-Prozessoren oft schneller als SHA-256

Ein kryptografischer Hash ist ein Fingerabdruck in nur einer Richtung. Dieselbe Eingabe ergibt immer dieselbe Prüfsumme, eine winzige Änderung ergibt eine unverwandte, und der Text lässt sich aus der Prüfsumme nicht wiederherstellen. MD5 wird nicht angeboten, weil die Web Crypto API es nicht implementiert.

Beispiel

Text

abc

SHA-256

ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad

SHA-1

a9993e364706816aba3e25717850c26c9cd0d89d

Diese beiden sind die veröffentlichten Testvektoren aus den Beispielen des Standards, sodass Sie das Tool an einer vertrauenswürdigen Quelle prüfen können. Sehen Sie nun, was ein einziger Buchstabe bewirkt. Wenn Sie in The quick brown fox jumps over the lazy dog „dog“ durch „cog“ ersetzen:

…dog

d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592

…cog

e4c4d8f3bf76b692de791a173e05321150f7a345b46484fe427f6acc7ecc81be

Diese SHA-256-Prüfsummen haben nichts Erkennbares gemeinsam: 123 der 256 Bits unterscheiden sich, nahe der Hälfte, die man bei unverwandten Werten erwartet. Das ist der Lawineneffekt, und deshalb kann ein Hash zeigen, dass sich eine Datei oder Nachricht geändert hat, ohne zu verraten, was sich geändert hat.

Warum Ihr Hash möglicherweise nicht übereinstimmt

Abschließender Zeilenumbruch. abc und abc gefolgt von einem Zeilenumbruch sind unterschiedliche Eingaben: Der SHA-256 von abc plus Zeilenumbruch beginnt mit edeaaff3, nicht mit ba7816bf. Der Befehl echo abc | sha256sum hasht den Zeilenumbruch mit; verwenden Sie printf oder echo -n, um ihn wegzulassen.
Groß- und Kleinschreibung sowie Leerzeichen. Abc ergibt einen anderen Hash als abc, ebenso ein Leerzeichen an einem der beiden Enden.
Kodierung. Das Tool hasht die UTF-8-Bytes dessen, was Sie eingegeben haben. Text, der anderswo als UTF-16 oder Latin-1 gehasht wird, ergibt bei jedem Nicht-ASCII-Zeichen eine andere Prüfsumme.
Zeilenenden. Aus einer Windows-Datei eingefügter Text kann Wagenrücklaufzeichen enthalten, die ein Textfeld vereinheitlicht.

Wofür dieses Tool nicht gedacht ist

Dateien. Es hasht nur Text. Für eine Datei verwenden Sie shasum -a 256 Datei unter macOS oder Linux bzw. certutil -hashfile Datei SHA256 unter Windows.
Passwörter. SHA-256 ist auf Geschwindigkeit ausgelegt, was einem Angreifer beim Erraten von Passwörtern hilft. Speichern Sie Passwörter mit einer langsamen Passwort-Hashfunktion mit Salt, etwa Argon2id, scrypt oder bcrypt.
Schlüsselbasierte Hashes. Es gibt keine HMAC- oder Salt-Option.

Welches Tool brauchen Sie?

Für die hexadezimale Ansicht des Textes selbst statt eines Hashes davon verwenden Sie den Hex-Konverter. Für eine zufällige Kennung nehmen Sie den UUID-Generator, für ein zufälliges Geheimnis den Passwort-Generator.

Häufig gestellte Fragen

Wird mein Text auf einen Server hochgeladen?: Nein. Jede Prüfsumme wird in Ihrem Browser mit der Web Crypto API (crypto.subtle.digest) berechnet. Ihr Text wird nirgendwohin gesendet, und das Tool funktioniert weiter, wenn Sie nach dem Laden der Seite offline gehen.
Was ist ein kryptografischer Hash?: Eine Funktion, die Eingaben beliebiger Länge in eine Prüfsumme fester Länge umwandelt. Sie ist deterministisch, nicht umkehrbar und reagiert auf jedes Bit der Eingabe. Hashes dienen unter anderem der Prüfung der Dateiintegrität, digitalen Signaturen und Commit-Kennungen.
Welchen Hash-Algorithmus sollte ich verwenden?: Für fast alles SHA-256. SHA-384 und SHA-512 liefern längere Prüfsummen aus derselben Familie. Verwenden Sie SHA-1 nur, wenn ein Altsystem es verlangt, und niemals für Sicherheitszwecke.
Ist SHA-1 sicher?: Nicht für Sicherheitszwecke. Der Angriff SHAttered aus dem Jahr 2017 erzeugte zwei verschiedene PDF-Dateien mit derselben SHA-1-Prüfsumme, und das NIST empfiehlt, es bis Ende 2030 auslaufen zu lassen. Für Prüfsummen ohne Sicherheitsanspruch, bei denen kein Angreifer im Spiel ist, bleibt es akzeptabel.
Warum gibt es keine MD5-Option?: Die Web Crypto API implementiert MD5 nicht, und das Tool verwendet nur, was der Browser bereitstellt. MD5 ist seit vielen Jahren für Sicherheitszwecke ungeeignet.
Kann ich mit diesem Tool eine Datei hashen?: Nein, es akzeptiert nur Text. Verwenden Sie für Dateien das Kommandozeilenwerkzeug Ihres Betriebssystems, wie oben beschrieben.
Warum weicht mein SHA-256 von dem einer anderen Seite ab?: Fast immer unterscheidet sich die Eingabe um ein unsichtbares Zeichen, etwa einen abschließenden Zeilenumbruch oder ein Leerzeichen, oder um eine andere Textkodierung. Prüfen Sie die genauen Bytes mit dem Hex-Konverter.