Ist Ihr Download beschädigt oder verändert? Prüfen mit SHA-256

Sie haben ein Installationsprogramm oder ein Systemabbild heruntergeladen. Neben dem Downloadlink steht eine scheinbar sinnlose Reihe aus 64 Buchstaben und Ziffern, davor das Wort SHA-256. Vielleicht ist die Installation mit einem Fehler abgebrochen, oder Sie haben die Datei von einem Spiegelserver statt von der offiziellen Seite geladen und haben kein gutes Gefühl. Genau für diesen Moment wird die Zeichenfolge veröffentlicht: In etwa zwei Minuten sagt sie Ihnen, ob Ihre Datei Byte für Byte der Datei des Herausgebers entspricht.

Dieser Ratgeber erklärt, was der Wert aussagt, wie Sie den Wert Ihrer eigenen Datei im Browser, unter Windows und auf dem Mac ermitteln und was Sie der Reihe nach prüfen, wenn beide Werte nicht übereinstimmen. Das Ganze klappt auch ganz ohne Kommandozeile; wer Befehle mag, findet sie trotzdem weiter unten.

Was sagt die lange Zeichenfolge auf der Seite aus?

Nachdem der Herausgeber die Datei erstellt hat, berechnet er ihre Prüfsumme (englisch Hash) und schreibt sie auf die Seite. Die Prüfsumme ist ein Fingerabdruck fester Länge, der aus jedem einzelnen Byte der Datei entsteht: Ein 4 GB großes Abbild und ein 200 KB kleines Dokument ergeben mit SHA-256 beide einen Wert aus 64 Zeichen. Sie führen dieselbe Berechnung mit Ihrer Kopie durch. Sind beide Werte Zeichen für Zeichen gleich, haben Sie die Datei des Herausgebers; weicht auch nur ein Zeichen ab, ist es eine andere.

Es handelt sich also weder um ein Passwort noch um einen Lizenzschlüssel; bei der Installation tippen Sie den Wert nirgends ein, er dient nur dem Vergleich. Wo er steht, ist von Seite zu Seite verschieden: neben dem Link unter einer Überschrift wie "SHA-256", "Checksum" oder "Prüfsumme", manchmal auch als eigene Textdatei namens SHA256SUMS. Linux-Distributionen und Open-Source-Projekte wählen meist diesen zweiten Weg; öffnen Sie die Datei mit dem Editor, steht in jeder Zeile zuerst eine Prüfsumme und daneben ein Dateiname.

Im Browser prüfen, ganz ohne Befehle

Öffnen Sie den Hash-Generator und ziehen Sie die heruntergeladene Datei in das Feld oder klicken Sie hinein, um sie auszuwählen. Kopieren Sie den Wert von der Downloadseite in das Feld Erwartete Prüfsumme und klicken Sie auf Prüfsumme berechnen. In der Zeile der Datei erscheint dann eines von zwei Ergebnissen: Der Wert stimmt mit der erwarteten Prüfsumme überein, oder er stimmt NICHT überein. 64 Zeichen mit bloßem Auge vergleichen müssen Sie nicht.

Wie sauber Sie den Wert kopiert haben, spielt keine Rolle. Das Werkzeug ignoriert Groß- und Kleinschreibung sowie Leerzeichen und entfernt Vorsätze wie "sha256:". Sie können sogar eine ganze Zeile aus einer SHA256SUMS-Datei samt Dateinamen einfügen; die Prüfsumme sucht es sich selbst heraus. Haben Sie in der Liste das falsche Verfahren gewählt, erkennt es an der Länge des eingefügten Werts, mit welchem Verfahren er erstellt wurde, und vergleicht damit.

Die einzige Grenze ist die Größe: Weil die Datei in den Arbeitsspeicher des Browsers gelesen wird, nimmt das Werkzeug höchstens 1 GB pro Datei an. Für größere Abbilder nutzen Sie die Befehle im nächsten Abschnitt. Die Berechnung läuft vollständig auf Ihrem Rechner; die Datei wird an keinen Server geschickt.

Unter Windows und auf dem Mac mit einem Befehl

Sie müssen nichts installieren, beide Systeme bringen das Nötige mit. Unter Windows öffnen Sie den Ordner mit der Datei im Explorer (meist Downloads), klicken oben in die Adressleiste, tippen cmd und drücken die Eingabetaste: Die Eingabeaufforderung öffnet sich direkt in diesem Ordner. Auf dem Mac finden Sie das Terminal unter Programme > Dienstprogramme oder über Befehlstaste + Leertaste und die Eingabe "Terminal" in Spotlight.

• Enthält der Dateiname Leerzeichen, setzen Sie ihn in Anführungszeichen: "Neue Version.exe"
• PowerShell gibt den Wert in Großbuchstaben aus, auf der Seite steht er vielleicht klein; es ist derselbe Wert
• Vergleichen Sie mit dem Auge, dann nicht nur die ersten und letzten Zeichen; markieren Sie den Wert, kopieren Sie ihn mit Strg+C und setzen Sie ihn in einem Textdokument unter den veröffentlichten

Die Werte weichen ab: das prüfen Sie der Reihe nach

Eine Abweichung ist meist eine gewöhnliche Panne und kein Angriff. Bevor Sie etwas löschen, gehen Sie diese vier Punkte durch; die ersten drei dauern nur Sekunden.

• Gleiches Verfahren? 64 Zeichen bedeuten SHA-256, 128 SHA-512, 40 SHA-1 und 32 MD5; vielleicht haben Sie ein anderes berechnet
• Richtige Zeile? Downloadseiten führen 32-Bit-, 64-Bit-, ARM- und ältere Versionen getrennt auf, und jede hat ihre eigene Prüfsumme
• Download vollständig? Vergleichen Sie die Dateigröße mit der Angabe auf der Seite; endet der Name auf .crdownload oder .part, wurde der Download abgebrochen
• Stimmt all das, öffnen Sie die Datei nicht: löschen Sie sie und laden Sie sie neu, am besten von der Seite des Herausgebers; passt auch die zweite Kopie nicht, installieren Sie sie nicht

Wenn die Seite nur MD5 oder SHA-1 angibt

Manche ältere Seiten veröffentlichen bis heute nur MD5 oder SHA-1. Auch diese Werte zu prüfen lohnt sich: Sie erkennen zuverlässig eine abgebrochene oder beim Kopieren beschädigte Datei, denn dass ein zufälliger Fehler genau dieselbe Prüfsumme ergibt, ist praktisch ausgeschlossen.

Was sie nicht erkennen, ist eine gezielt präparierte Fälschung. Für MD5 wurde 2004, für SHA-1 im Jahr 2017 gezeigt, dass sich absichtlich zwei verschiedene Dateien mit gleicher Prüfsumme herstellen lassen; im SHA-1-Fall veröffentlichten die Forscher zwei unterschiedliche PDF-Dateien mit identischem Wert. Wer eine Datei verändert, kann sie also so zurechtbiegen, dass die alte Prüfsumme wieder passt. Bietet die Seite mehrere Werte an, nehmen Sie den längsten, mindestens aber SHA-256.

Was eine Übereinstimmung beweist und was nicht

Eine Übereinstimmung beweist, dass Ihre Datei dieselbe ist wie die Datei dessen, der den Wert veröffentlicht hat. Sie beweist nicht, dass die Datei harmlos ist: Hat der Herausgeber selbst etwas Schädliches bereitgestellt, gehört die Prüfsumme eben zu dieser Datei. Schauen Sie deshalb zuerst darauf, von wem die Datei stammt.

Auch die Herkunft des Werts zählt. Haben Sie die Datei von einem Spiegelserver, aus einem Forum oder von einer Tauschseite, kopieren Sie die Prüfsumme unbedingt von der offiziellen Seite des Herausgebers. Ein Wert, der direkt neben der Datei steht, kann von derselben Person ausgetauscht worden sein, die auch die Datei verändert hat. Große Projekte signieren ihre Prüfsummenlisten deshalb zusätzlich digital; Dateien mit der Endung .sig, .asc oder .gpg auf der Downloadseite sind solche Signaturen. Für die Signaturprüfung braucht es ein eigenes Programm wie GnuPG, der Hash-Generator übernimmt das nicht; im Alltag ist ein SHA-256-Abgleich mit der offiziellen Seite in den meisten Fällen eine solide Kontrolle.

Wenn Sie selbst eine Datei verschicken

Das Verfahren funktioniert auch umgekehrt. Schicken Sie jemandem ein großes Archiv, einen Vertragsentwurf oder eine Sicherung, berechnen Sie vorher mit dem Hash-Generator die SHA-256-Prüfsumme und laden Sie die kleine Prüfsummendatei herunter. Darin stehen Prüfsumme und Dateiname in genau dem Format, das der Linux-Befehl sha256sum lesen kann.

Übermitteln Sie die Prüfsumme auf einem anderen Weg als die Datei: Ging die Datei als Freigabelink hinaus, schreiben Sie den Wert in eine Nachricht. Berechnet der Empfänger die Prüfsumme seiner Kopie und vergleicht sie mit Ihrer, wissen Sie beide, dass die Datei unterwegs weder beschädigt noch von Dritten verändert wurde.

Häufige Fragen

Auf der Seite steht der Wert in Großbuchstaben, bei mir in Kleinbuchstaben. Ist das ein Problem?

Nein. Prüfsummen sind hexadezimal geschrieben, a und A sind dieselbe Ziffer. PowerShell gibt Großbuchstaben aus, certutil, macOS und Linux Kleinbuchstaben; beim Vergleich spielt die Schreibweise keine Rolle.

Ändert sich die Prüfsumme, wenn ich die Datei umbenenne?

Nein. Die Prüfsumme wird nur aus dem Inhalt berechnet; Name, Ordner und Datum fließen nicht ein. Auch wenn der Browser die Datei als "setup (1).exe" gespeichert hat, passt die Prüfsumme zum veröffentlichten Wert.

Auf der Downloadseite steht gar keine Prüfsumme. Was kann ich tun?

Mit dem Herausgeber vergleichen können Sie dann nicht, den Download selbst aber schon: Laden Sie die Datei zu zwei verschiedenen Zeitpunkten herunter und berechnen Sie im Hash-Generator beide Prüfsummen. Sind sie gleich, ist beim Herunterladen zumindest nichts kaputtgegangen.

Die Prüfsumme stimmt, aber mein Virenschutz schlägt Alarm. Wem soll ich glauben?

Beide beantworten verschiedene Fragen. Die Übereinstimmung sagt, dass die Datei der des Herausgebers entspricht; der Virenschutz beurteilt, ob der Inhalt schädlich wirkt. Vertrauen Sie dem Herausgeber nicht, schützt Sie auch eine Übereinstimmung nicht. Im Zweifel führen Sie die Datei nicht aus und wenden sich an den Support des Herausgebers.

Kann ich eine auf dem Handy heruntergeladene Datei prüfen?

Ja. Der Hash-Generator läuft auch im Handybrowser; tippen Sie das Feld an und suchen Sie die Datei in den Downloads oder in der Dateien-App heraus. Bei sehr großen Dateien reicht der Speicher des Handys womöglich nicht aus; prüfen Sie dann am Computer.

Zuletzt aktualisiert: 12. Oktober 2026