Hashwert eines Textes berechnen

So funktioniert es

Fügen Sie den Text in das linke Feld ein; der Hashwert erscheint beim Tippen im rechten Feld, ohne dass Sie eine Schaltfläche drücken müssen. Verlangt etwa eine Schnittstellendokumentation für eine Signatur den SHA-256-Wert des Wortes "hallo", fügen Sie das Wort ein und lesen die 64 Stellen sofort ab. Gerechnet wird nicht über die sichtbaren Buchstaben, sondern über die UTF-8-Bytes des Textes — und das ist bei ä, ö, ü und ß entscheidend, denn jeder dieser Buchstaben belegt zwei Bytes, und ein einziges verändertes Byte ergibt einen völlig anderen Wert. Tragen Sie einen vorhandenen Wert in das Feld Erwarteter Hashwert ein, übernimmt das Werkzeug den Vergleich und schreibt in die Ergebniszeile, ob beide übereinstimmen; Groß- und Kleinschreibung, Leerzeichen am Rand und ein Präfix wie "sha256:" werden dabei ignoriert. Die Ergebniszeile nennt außerdem die Zeichenzahl neben der Byte-Zahl, die im Deutschen fast nie gleich sind. Alles läuft in Ihrem Browser, der eingefügte Text verlässt das Gerät nicht.

Dieses Werkzeug ist auch als hashwert berechnen, sha256 hash erzeugen, md5 hashwert online, text hashen, sha512 hashwert bekannt.

Was ist Hashwert?

Ein Hashwert ist ein Fingerabdruck fester Länge, der aus den Bytes eines Textes berechnet wird. Ob Sie ein einzelnes Wort tippen oder einen hundertseitigen Vertrag einfügen: SHA-256 liefert immer 64 Hexstellen. Dieselbe Eingabe ergibt stets denselben Wert, eine um einen Buchstaben abweichende Eingabe einen völlig anderen. Diese beiden Eigenschaften erlauben es, lange Texte ohne Byte-für-Byte-Vergleich abzugleichen und nachzuweisen, dass ein Text seit der Aufzeichnung nicht verändert wurde. Der Weg zurück existiert nicht.

Was ist SHA-512?

SHA-512 ist das 512-Bit-Mitglied der SHA-2-Familie und liefert 128 Hexstellen. Es teilt die Bauweise mit SHA-256, rechnet aber mit 64-Bit-Wörtern und ist deshalb auf 64-Bit-Prozessoren meist schneller, auf 32-Bit-Systemen langsamer. In der Praxis wird es nicht wegen der Geschwindigkeit gewählt, sondern wegen der Länge: Für einen HMAC-Schlüssel, einen Startwert oder längeres Schlüsselmaterial sind 512 Bit Reserve willkommen. Zum Prüfen von Downloads bleibt SHA-256 der De-facto-Standard.

Was ist MD5?

MD5 wurde 1992 definiert und liefert einen 128-Bit-Wert in 32 Hexstellen. Die kryptografische Zusage ist seit 2004 gebrochen: Zwei verschiedene Eingaben mit gleichem MD5-Wert lassen sich auf einem Notebook erzeugen, ein Treffer beweist also nicht, dass ein Inhalt unverändert ist. Zufällige Beschädigungen — eine halb kopierte Zeichenkette, ein Übertragungsfehler — erkennt MD5 weiterhin zuverlässig, und viele ältere Systeme veröffentlichen nach wie vor MD5-Werte. Deshalb steht es hier zur Auswahl.

Ist der Hashwert eines Textes dasselbe wie der einer Datei?

Der Algorithmus ist derselbe, die Eingabe nicht. Diese Seite wandelt den eingefügten Text zuerst in UTF-8-Bytes um und rechnet über diese Bytes; der Wert einer Datei entsteht direkt aus den Bytes auf der Festplatte. Praktisch heißt das: Hier "hallo" zu tippen und eine Textdatei mit dem Inhalt "hallo" zu prüfen ergibt in der Regel unterschiedliche Werte, weil die Datei fast immer mit einem unsichtbaren Zeilenumbruch endet. Wollen Sie prüfen, ob ein heruntergeladenes Installationsprogramm vollständig angekommen ist, brauchen Sie den Wert der Datei selbst: Der Hash-Generator dieser Seite liest die Datei unverändert ein und nimmt bis zu 1 GB an.

Wenn derselbe Text zwei verschiedene Werte ergibt

Gerechnet wird über Bytes, nicht über sichtbare Zeichen, und drei unsichtbare Unterschiede erklären fast jede Abweichung: ein Zeilenumbruch am Ende des Textes, die Windows-Schreibweise des Umbruchs mit zwei Zeichen (CR LF) statt einem, und eine Byte-Reihenfolge-Markierung am Anfang. Aus einer Datei kopierter Text bringt den abschließenden Umbruch meist mit; weicht der Wert von dem ab, den Sie auf der Kommandozeile erhalten haben, prüfen Sie zuerst das.

Die zweite Ursache ist die Zeichencodierung. Derselbe Satz ergibt in UTF-8 eine andere Bytefolge als in Windows-1252 oder ISO 8859-1, also zwangsläufig auch einen anderen Hashwert. Dieses Werkzeug rechnet immer mit UTF-8, dem Standard des Webs. Stammt der zu prüfende Wert aus einer älteren Datenbank und lässt sich nicht reproduzieren, fragen Sie nach der dort verwendeten Codierung, bevor Sie am Algorithmus zweifeln.

Passwörter gehören nicht in diese Hashwerte

Passwörter als MD5- oder SHA-256-Wert zu speichern war jahrelang üblich und gilt heute als Sicherheitsmangel. Der Grund ist die Geschwindigkeit: Diese Algorithmen sind bewusst schnell, und Schnelligkeit nützt vor allem demjenigen, der eine erbeutete Werteliste durchprobiert — Milliarden Versuche pro Sekunde sind auf handelsüblicher Hardware möglich. Für die Speicherung von Passwörtern nimmt man bcrypt, scrypt oder Argon2: absichtlich langsam und pro Eintrag gesalzen.

Diese Seite dient dem Fingerabdruck eines Textes: eine Signatur prüfen, feststellen ob zwei lange Zeichenketten Byte für Byte gleich sind, belegen dass ein Absatz nicht verändert wurde, oder den Wert erzeugen, den eine Schnittstelle verlangt. Ein Passwort hier einzufügen ist technisch unbedenklich, weil der Text das Gerät nicht verlässt — aber wenn Sie den entstehenden Wert als Anmeldedatum speichern wollen, ist es das falsche Werkzeug.

• Geeignet: Signaturprüfung, Textvergleich, Nachweis der Unverändertheit, von einer Schnittstelle verlangte Werte
• Ungeeignet: Passwörter speichern, Daten verbergen, Verschlüsselung ersetzen

Häufige Fragen

Wie berechne ich den SHA-256-Wert eines Textes?

Fügen Sie den Text links ein und lassen Sie den Algorithmus auf SHA-256 stehen; die 64 Stellen erscheinen sofort im rechten Feld. Gerechnet wird mit der eingebauten Krypto-Funktion des Browsers, der Text wird nirgendwohin gesendet.

Kann man aus einem Hashwert den Text zurückgewinnen?

Nein. Das Verfahren ist einseitig: Texte beliebiger Länge werden auf einen Wert fester Länge abgebildet, eine Umkehrung gibt es nicht. Dienste, die "Hash entschlüsseln" anbieten, schlagen den Wert in einer vorberechneten Liste häufiger Wörter und geleakter Passwörter nach; bei kurzen, verbreiteten Eingaben klappt das, bei einem ganzen Satz nicht.

Wie stelle ich fest, ob zwei Texte identisch sind?

Berechnen Sie beide Werte und vergleichen Sie sie, oder fügen Sie den einen Wert in das Feld Erwarteter Hashwert ein und den anderen Text in das Eingabefeld. Gleiche Werte bedeuten zeichengenaue Übereinstimmung. Weichen sie ab, unterscheidet sich mindestens ein Byte — wo, zeigt Ihnen das Werkzeug zum Textvergleich.

Ist MD5 noch brauchbar?

Nur zum Abgleich. Zwei verschiedene Eingaben mit demselben MD5-Wert lassen sich gezielt erzeugen, deshalb belegt eine Übereinstimmung nicht, dass ein Inhalt unverändert ist. Einen von anderer Seite veröffentlichten MD5-Wert zu prüfen bleibt sinnvoll; wenn Sie selbst einen Wert veröffentlichen, nehmen Sie SHA-256.