Hash-Generator
Text eingeben oder Datei wählen – alle fünf Prüfsummen auf einmal.
- Komplett kostenlosKein Konto, kein Tageslimit, keine Bezahlstufe.
- Nichts wird hochgeladenDateien werden auf deinem Gerät verarbeitet und erreichen keinen Server.
- Kein Haken am ErgebnisKein Wasserzeichen, keine erzwungene Verkleinerung, keine Größengrenze.
- Änderungen offen dokumentiertJede Korrektur und jedes neue Werkzeug steht im Änderungsprotokoll.
Was dieses Hash-Tool macht
Eine Hash-Funktion verwandelt jede Eingabe – einen Satz, ein Passwort, ein 4 GB großes Festplatten-Image – in einen Fingerabdruck fester Länge. Ändern Sie ein einziges Bit der Eingabe, ändert sich der Fingerabdruck vollständig. Das macht Hashes zum Standardverfahren, um zu prüfen, ob eine Datei unversehrt angekommen ist, um festzustellen, ob zwei Dokumente identisch sind, ohne sie Byte für Byte zu vergleichen, und um Passwörter zu speichern, ohne das Passwort selbst abzulegen. Diese Seite berechnet MD5, SHA-1, SHA-256, SHA-384 und SHA-512 gleichzeitig für alles, was Sie eingeben, oder für jede Datei, die Sie auswählen, und zeigt die Ergebnisse hexadezimal oder als Base64.
Die SHA-Familie läuft über die Web-Crypto-API des Browsers, dieselbe Implementierung, die auch für TLS verwendet wird – also schnell und korrekt, selbst bei großen Dateien. MD5 stellen Browser nicht bereit, deshalb ist eine kompakte Referenzimplementierung von RFC 1321 mitgeliefert; sie wurde gegen die Standard-Testvektoren geprüft. Dateien werden lokal gelesen und nie hochgeladen.
So verwenden Sie es
Tippen oder fügen Sie Text ein – die fünf Hashes aktualisieren sich laufend. Klicken Sie auf Datei, um einen Download, ein Installationsprogramm oder ein Backup zu hashen; Dateiname und Byte-Anzahl erscheinen unter der Eingabe. Schalten Sie Großbuchstaben oder Base64 ein, um das Format Ihrer Quelle zu treffen – sha256sum unter Linux gibt Hex in Kleinbuchstaben aus, viele APIs und Docker-Image-Digests ebenfalls, während Content-MD5-Header und Subresource-Integrity-Attribute Base64 verwenden. Um einen Download zu prüfen, fügen Sie die Prüfsumme von der Seite des Anbieters in das Feld Prüfen ein: Die passende Zeile wird grün und der Status zeigt an, ob sie übereinstimmt – unabhängig von Groß-/Kleinschreibung oder Format.
Aktivieren Sie HMAC und geben Sie einen geheimen Schlüssel ein, um Hashes mit Schlüssel zu berechnen (HMAC-SHA256 und Verwandte). So werden Webhook-Signaturen von Stripe, GitHub und Slack, AWS Signature v4 und viele API-Authentifizierungsverfahren gebildet. HMAC ist hier für MD5 nicht definiert, weil kein modernes System es noch verwenden sollte.
Welchen Algorithmus soll ich verwenden?
SHA-256 ist 2026 die Standardwahl: Es steckt in der Standardbibliothek jeder Sprache, erzeugt einen Digest aus 64 Hex-Zeichen und hat keine bekannten praktikablen Angriffe. SHA-512 ist auf 64-Bit-CPUs schneller und wird eingesetzt, wo ein längerer Digest gewünscht ist. SHA-1 und MD5 sind bezüglich Kollisionsresistenz gebrochen – Forscher haben seit 2004 zwei verschiedene Dateien mit demselben MD5 und seit 2017 mit demselben SHA-1 erzeugt (der SHAttered-Angriff) –, sie dürfen also nicht für Signaturen oder Zertifikate verwendet werden, bleiben aber für sicherheitsunkritische Zwecke wie Deduplizierung, Cache-Schlüssel und den Abgleich eines Downloads mit einer von derselben Seite veröffentlichten Prüfsumme in Ordnung. Zum Speichern von Passwörtern ist keiner davon für sich allein geeignet: Verwenden Sie bcrypt, scrypt oder Argon2, die absichtlich langsam sind.
Hintergrund: von MD5 bis SHA-3
MD5 wurde 1991 von Ron Rivest am MIT entworfen (RFC 1321), als schnellerer Nachfolger von MD4, und wurde zur universellen Prüfsumme des Internets der 1990er-Jahre. SHA-1 folgte 1995 von der NSA (FIPS 180-1) mit 160 Bit Ausgabe. Als die Angriffe auf beide ausreiften, veröffentlichte das NIST 2001 die SHA-2-Familie – darunter SHA-256 und SHA-512 – und wählte nach einem offenen Wettbewerb 2015 Keccak als SHA-3 aus, als strukturell andersartige Rückfalloption. Browser stellten SHA-1, SHA-256, SHA-384 und SHA-512 über die 2017 vom W3C standardisierte Web-Crypto-API bereit – das ist es, was Tools wie dieses ohne jeden Server möglich macht.
Wo es verwendet wird
Prüfen von ISO-Images, Installationsprogrammen und Firmware gegen die auf der Download-Seite veröffentlichte SHA-256; Git-Commit-IDs (SHA-1, mit Migration zu SHA-256); Docker- und OCI-Image-Digests (sha256:…); Package-Lock-Dateien und Subresource-Integrity-Hashes in HTML; Webhook-Signaturprüfung mit HMAC-SHA256; ETags und Cache-Schlüssel in CDNs; Deduplizierung von Dateien in Backup-Tools; Bitcoins Proof of Work (doppeltes SHA-256); und schnelle Gleichheitsprüfungen zwischen zwei großen Exporten. Kommt eine Signatur oder ein Digest in einem JWT oder einer JSON-Payload an, dekodieren Sie zuerst den Container und prüfen dann hier den Hash.
Häufig gestellte Fragen
Wird meine Datei hochgeladen?
Nein. Die Datei wird von Ihrem Browser gelesen und lokal mit der Web-Crypto-API gehasht. Sie können die Internetverbindung trennen – es funktioniert trotzdem.
Warum stimmt mein Hash nicht mit der Prüfsumme des Anbieters überein?
Meist ist der Download unvollständig oder eine andere Dateiversion, oder Sie vergleichen Hex mit Base64. Das Feld Prüfen akzeptiert beide Formate und ignoriert die Groß-/Kleinschreibung; schlägt es weiterhin fehl, laden Sie die Datei erneut herunter.
Kann ich einen Hash umkehren, um den Originaltext zu erhalten?
Nein. Hashes sind Einwegfunktionen. Kurze oder häufige Eingaben lassen sich über Lookup-Tabellen finden – deshalb sollten Passwörter nie als einfacher Hash gespeichert werden.
Ist MD5 noch sicher?
Für Prüfsummen und Deduplizierung ja. Für alles Sicherheitsrelevante – Signaturen, Zertifikate, Passwortspeicherung – nein; verwenden Sie SHA-256 oder besser und für Passwörter einen langsamen Hash wie Argon2.
Was ist HMAC?
Ein Hash, der mit einem geheimen Schlüssel kombiniert wird, sodass nur jemand mit diesem Schlüssel ihn erzeugen oder prüfen kann. Es ist das Standardverfahren, mit dem APIs Webhooks und Anfragen signieren.