SHA-Hashes von Dateien und Text im Browser erzeugen
Lege eine Datei ab und erhalte ihre SHA-256-Prüfsumme (oder SHA-1, SHA-384, SHA-512), oder tippe Text und sieh alle vier Digests live. Füge daneben die veröffentlichte Prüfsumme ein – ein klares Stimmt/Stimmt-nicht sagt dir, ob dein Download unversehrt ist. Alles läuft über die Web-Crypto-API in deinem Browser, nichts wird hochgeladen.
Wie prüfe ich einen Download?
Viele Downloadseiten veröffentlichen neben der Datei eine Prüfsumme – Linux-ISOs, Installer, Firmware. So prüfst du deine: Datei im Datei-Modus ablegen, das Verfahren wählen, das die Seite nennt (meist SHA-256), und den veröffentlichten Wert ins Vergleichsfeld einfügen. Der Vergleich ist nachsichtig bei der Form – Groß- oder Kleinschreibung, Leerraum, eine ganze sha256sum-Zeile wie ba7816bf… ubuntu.iso, sogar die Base64-/SRI-Schreibweise – aber streng im Urteil: Ein einziges abweichendes Zeichen heißt, die Datei ist nicht die veröffentlichte. Passt die Länge des eingefügten Werts zu einem anderen SHA-Verfahren als dem gewählten, weist das Werkzeug darauf hin und bietet das Umschalten an, statt ein irreführendes Rot zu zeigen.
Was ist ein Hash und wofür ist er gut?
Eine Hash-Funktion bildet eine beliebige Eingabe auf einen Digest fester Länge ab. Dieselbe Eingabe ergibt immer denselben Digest, ein einziges geändertes Zeichen ändert die ganze Ausgabe – rückwärts lässt sich die Eingabe aber nie zurückgewinnen. Das macht Hashes ideal zum Prüfen der Integrität (passt dieser Download zur veröffentlichten Prüfsumme?) und zum Speichern von Passwörtern, ohne das Passwort selbst aufzubewahren.
Welches Verfahren solltest du nehmen?
| Verfahren | Digest-Länge | Heute nutzen? |
|---|---|---|
| SHA-1 | 160 Bit (40 Hex) | nur Altsysteme – seit praktischer Kollision 2017 gebrochen |
| SHA-256 | 256 Bit (64 Hex) | empfohlener Standard |
| SHA-384 | 384 Bit (96 Hex) | erhöhte Sicherheitsanforderungen |
| SHA-512 | 512 Bit (128 Hex) | erhöhte Sicherheitsanforderungen |
SHA-256 ist das Fundament von TLS-Zertifikaten, Software-Signierung, Git und Bitcoin. SHA-1 wird zur Kompatibilität mit älteren Systemen gezeigt, aber Google demonstrierte 2017 eine echte SHA-1-Kollision („SHAttered“) – es darf für Sicherheit nicht genutzt werden. MD5 fehlt bewusst – es ist gebrochen und die Web-Crypto-API bietet es nicht; fügst du einen MD5-Wert ins Vergleichsfeld ein, sagt das Werkzeug das, statt eine Abweichung vorzutäuschen.
Warum gibt es eine Dateigrößen-Grenze?
Die native Digest-Funktion des Browsers nimmt genau einen Puffer entgegen – streamen kann sie nicht. Eine Datei nativ zu hashen heißt deshalb, die ganze Datei im Speicher zu halten; dieses Werkzeug erlaubt das bis 256 MB. Darüber wechselt SHA-256 auf eine eingebaute Streaming-Implementierung, die die Datei in kleinen Stücken mit konstantem Speicher liest: Sie schafft auch große Dateien, nur spürbar langsamer als der native Weg – die Wartezeit schätzt das Werkzeug vorab. SHA-1, SHA-384 und SHA-512 haben keinen Streaming-Ersatz und bleiben auf 256 MB begrenzt – eine ehrliche Grenze statt eines stillen Scheiterns.
Hashen ist eine Einbahnstraße, keine Verschlüsselung
Ein Hash lässt sich nicht zurück zum Text dekodieren – es gibt hier kein „Entschlüsseln“. Angreifer können nur Kandidaten-Eingaben raten und Digests vergleichen – deshalb sind lange, einmalige Eingaben (und Salting bei Passwörtern) wichtig.
Privat von Haus aus
Dateien und Texte werden lokal mit den Ressourcen deines Geräts gehasht; sie verlassen den Browser nie. Das ist sicher für die Prüfung sensibler Dokumente und funktioniert auch ohne Netzverbindung.