Hash-Generator

So funktioniert der Hash-Generator

Der Hash-Generator berechnet aus einem beliebigen Text drei Hashwerte auf einmal: SHA-256 mit 64 Hexadezimalzeichen, den Standard für Signaturen, Zertifikate und Blockchains, MD5 mit 32 Zeichen, den alten Klassiker für Dateiprüfsummen, und CRC32 mit 8 Zeichen, die schnelle Prüfsumme aus ZIP-Archiven und Netzwerkprotokollen. Die Berechnung läuft komplett im Browser, der Text verlässt den Rechner nicht, und die Werte lassen sich kopieren, um sie mit der Prüfsumme eines Downloads, einem Eintrag in einer Datenbank oder dem Wert aus einem anderen Programm zu vergleichen.

Merksatz: Ein Hash ist ein Fingerabdruck, immer gleich lang, aus demselben Text immer derselbe, und aus dem Fingerabdruck lässt sich der Text nicht zurückrechnen. Die Eselsbrücke: Ein geändertes Zeichen, ein komplett anderer Wert, das nennt sich Lawineneffekt.

Drei Beispiele:

• "rechner24.net": SHA-256 beginnt mit 1e31716d92f00863…, MD5 93f61dfc4b3182cc060abc77842496b9, CRC32 4923b903.
• "rechner24.Net", ein Großbuchstabe anders: SHA-256 beginnt mit 6cca61c3a54d2dac…, MD5 5d5ccc2fcd098e074247ca398ffe4782, CRC32 716effe3, nichts stimmt mehr überein.
• "Hallo Welt": SHA-256 2d2da19605a34e03…, MD5 5c372a32c9ae748a4c040ebadc51a829, CRC32 50281475, 10 Zeichen Text, 64 Zeichen Hash.

Regeln statt Formeln: SHA-256: 256 Bit, 64 Hex-Zeichen, kollisionssicher, MD5: 128 Bit, 32 Zeichen, nur noch für Prüfsummen, CRC32: 32 Bit, 8 Zeichen, erkennt Übertragungsfehler, keine Manipulation, Eingabe als UTF-8-Bytes. Wer Text nur verpacken statt prüfen will, nimmt das Base64-Tool, und wer sichere Passwörter braucht, deren Hash dann in der Datenbank liegt, den Passwort-Generator.

Wissenswertes zum Thema

Was eine Hashfunktion tut und was sie nicht tut

Eine Hashfunktion nimmt Daten beliebiger Länge, einen Buchstaben oder eine Festplatte, und macht daraus einen Wert fester Länge, 256 Bit bei SHA-256, und drei Eigenschaften machen sie nützlich: Derselbe Text ergibt immer denselben Hash, deterministisch, aus dem Hash lässt sich der Text praktisch nicht zurückrechnen, Einwegfunktion, und es ist praktisch unmöglich, zwei verschiedene Texte mit demselben Hash zu finden, Kollisionsresistenz; dazu der Lawineneffekt, dass ein Bit Unterschied im Text etwa die Hälfte der Bits im Hash umkippt, "rechner24.net" und "rechner24.Net" haben nichts gemeinsam. Ein Hash ist keine Verschlüsselung, es gibt keinen Schlüssel und kein Zurück, und keine Kompression, aus 64 Zeichen Hash wird nie wieder der Roman. SHA-256 gehört zur SHA-2-Familie, die die NSA 2001 veröffentlichte, und steckt in TLS-Zertifikaten, Git-Objekten im neuen Format, Bitcoin, Signaturen von Software-Updates und Passwortspeicherung mit Salz; MD5 von 1991 ist seit 2004 gebrochen, zwei verschiedene Dateien mit gleichem MD5 lassen sich in Sekunden erzeugen, und taugt nur noch als Prüfsumme gegen Zufallsfehler; CRC32 ist gar keine kryptografische Funktion, sondern eine zyklische Redundanzprüfung, die Bitfehler bei Übertragung und Speicherung zuverlässig erkennt, aber von jedem gezielt gefälscht werden kann. Das Tool rechnet den Text als UTF-8-Bytes, so dass Umlaute dieselben Hashes ergeben wie in Linux-Werkzeugen und Python; Windows-Tools, die Latin-1 oder UTF-16 nutzen, kommen auf andere Werte. Was aus Bytes druckbare Zeichen ohne Prüfung macht, zeigt das Base64-Tool zum Vergleich.

Wofür man Hashes im Alltag braucht

Der häufigste Fall ist die Downloadprüfung: Die Website nennt den SHA-256 der Datei, nach dem Download rechnet man ihn selbst, unter Windows mit "certutil -hashfile datei SHA256", unter Mac und Linux mit "shasum -a 256 datei", und stimmen die 64 Zeichen überein, ist die Datei unverändert angekommen, weder abgebrochen noch unterwegs ausgetauscht. Der zweite ist das Passwort: Kein seriöser Dienst speichert Passwörter im Klartext, sondern den Hash, und beim Login wird das eingegebene Passwort gehasht und verglichen, so dass ein Datenleck nur Hashes preisgibt, die mit Salz und langsamen Funktionen wie bcrypt oder Argon2 schwer zu knacken sind, mit nacktem MD5 oder SHA-256 dagegen in Stunden per Wörterbuch; deshalb ist das Tool zum Verstehen da, nicht zum Passworthashen. Der dritte sind Signaturen, bei denen nicht die Datei, sondern ihr Hash mit dem privaten Schlüssel signiert wird, in Software-Updates, PDF-Signaturen und der elektronischen Rechnung. Der vierte ist die Deduplizierung, Backup-Programme und Cloud-Speicher erkennen am Hash, dass eine Datei schon vorhanden ist. Der fünfte ist die Blockchain, in der jeder Block den Hash des vorigen enthält und Bitcoin-Mining nichts anderes ist als die Suche nach einem Block, dessen SHA-256 mit vielen Nullen beginnt. Der sechste sind Git und andere Versionskontrollen, die jeden Dateistand über seinen Hash adressieren. Und der siebte ist der Vergleich zweier Texte ohne den Text zu senden, die Hashes reichen. Die eindeutigen Kennungen, die Datenbanken statt Hashes für neue Datensätze nutzen, erzeugt der UUID-Generator.

Typische Fehler und Missverständnisse

Der erste Fehler ist das Hashen von Passwörtern mit MD5 oder SHA-256 ohne Salz und ohne Streckung: Die Hashes aller gängigen Passwörter stehen in Rainbow-Tables, und ein Grafikprozessor rechnet Milliarden SHA-256 je Sekunde, so dass "Sommer2026!" in Sekunden gefunden ist; richtig sind bcrypt, scrypt oder Argon2 mit individuellem Salz. Der zweite ist die Annahme, ein Hash sei "verschlüsselt", nein, er ist unumkehrbar, aber für kurze Eingaben ratbar. Der dritte ist der Zeilenumbruch am Ende, "Hallo Welt" und "Hallo Welt" mit Enter haben verschiedene Hashes, und viele Kommandozeilen-Werkzeuge hängen ihn an, deshalb stimmt der Wert aus "echo" nicht mit dem Tool überein, bis man "echo -n" nimmt. Der vierte ist das Zeichenset, Umlaute in Latin-1 statt UTF-8. Der fünfte ist die Groß- und Kleinschreibung der Hex-Ausgabe, die egal ist, "4923B903" und "4923b903" sind derselbe CRC32. Der sechste ist MD5 für Sicherheit, es ist seit 2004 für Kollisionen und seit 2008 für gefälschte Zertifikate gebrochen. Der siebte ist CRC32 als Schutz gegen Manipulation, es schützt nur gegen Zufall. Der achte ist das Hashen einer Datei durch Einfügen ihres Namens statt ihres Inhalts, das Tool hasht Text, Dateien hasht die Kommandozeile. Zufällige Salze und Schlüssel, die man beim Hashen von Passwörtern braucht, liefert der Passwort-Generator mit kryptografischem Zufall.

Ein Stück Geschichte: Von der Quersumme zum SHA-3-Wettbewerb

Die Idee, Daten mit einer kurzen Prüfzahl zu sichern, ist älter als der Computer, die Quersumme auf Lochkarten und die Prüfziffer in Kontonummern gehören dazu, und die zyklische Redundanzprüfung CRC erfand W. Wesley Peterson 1961 für die Fehlererkennung in Datenübertragungen; CRC32 in der heutigen Form steckt seit den 1980er Jahren in Ethernet und seit 1989 in jedem ZIP-Archiv von Phil Katz. Kryptografische Hashfunktionen begannen mit Ralph Merkle und Ivan Damgård, die 1979 und 1989 die Konstruktion beschrieben, nach der bis heute SHA-2 gebaut ist, und Ron Rivest am MIT, der 1989 MD2, 1990 MD4 und 1991 MD5 entwarf, das für zwei Jahrzehnte überall war, bis Xiaoyun Wang 2004 auf einer Konferenz in Santa Barbara Kollisionen vorführte und 2008 Forscher damit ein gefälschtes Zertifikat einer echten Zertifizierungsstelle erzeugten. Die NSA veröffentlichte 1993 SHA-0 und 1995 SHA-1, das 2017 von Google mit zwei verschiedenen PDFs gleichen Hashs offiziell gebrochen wurde, und 2001 SHA-2 mit SHA-256 und SHA-512, die bis heute ungebrochen sind. Weil die NSA-Herkunft Misstrauen weckte, schrieb das amerikanische Standardinstitut NIST 2007 einen offenen Wettbewerb aus, den 2012 Keccak gewann, seit 2015 als SHA-3 standardisiert, mit völlig anderer Bauweise als Reserve. Bitcoin machte SHA-256 2009 zur meistgerechneten Funktion der Welt, das Netzwerk berechnet heute mehrere hundert Trillionen Hashes je Sekunde. Das Tool rechnet die drei Funktionen, die Peterson, Rivest und die NSA hinterlassen haben.

Praktische Tipps

Vergleichen Sie Downloads mit dem SHA-256 von der Website, nicht mit MD5, wenn beides angeboten wird. Achten Sie auf den Zeilenumbruch, wenn Kommandozeile und Tool verschiedene Werte liefern. Hashen Sie Passwörter nie mit MD5 oder SHA-256 allein, nehmen Sie bcrypt oder Argon2. Nutzen Sie CRC32 für Prüfsummen, nicht für Sicherheit. Rechnen Sie Text als UTF-8, dann stimmen die Werte mit Linux und Python überein. Kopieren Sie Hashes vollständig, 64 Zeichen bei SHA-256. Und verlassen Sie sich auf den Hash nur, wenn er über einen anderen Weg kam als die Datei. Zufallszahlen für Losverfahren, die mit Hashes nichts zu tun haben, zieht der Zufallszahl-Generator.