Hash Generator

MD5 (128-Bit): Schnell, aber seit den 1990ern kryptografisch gebrochen — es existieren praktische Kollisionsangriffe. Nur für nicht-sicherheitskritische Prüfsummen und zur Abwärtskompatibilität verwenden. SHA-1 (160-Bit): Ebenfalls gebrochen — Google demonstrierte 2017 einen praktischen Kollisionsangriff (SHAttered). Vermeiden Sie diesen für jegliche Sicherheitszwecke. SHA-256 (256-Bit): Der aktuelle Goldstandard. Keine bekannten praktischen Angriffe. Wird in TLS/HTTPS, Bitcoin, Git (SHA-1 wird schrittweise abgekündigt) und bei der Code-Signierung verwendet. Nutzen Sie diesen für alles Neue. SHA-512 (512-Bit): Bietet einen größeren Sicherheitsabstand und ist auf 64-Bit-Prozessoren tatsächlich schneller als SHA-256, da er mit 64-Bit-Wörtern statt 32-Bit arbeitet. Nutzen Sie diesen, wenn Sie zusätzlichen Sicherheitsspielraum wünschen.

Eine Kollision tritt auf, wenn zwei verschiedene Eingaben denselben Hash-Ausgang erzeugen. Gemäß dem Geburtsdagsparadoxon werden Kollisionen immer wahrscheinlicher, je geringer die Anzahl der möglichen Hash-Werte ist. MD5 hat einen 128-Bit-Ausgang (ca. 3,4 × 10^38 mögliche Werte), aber praktische Methoden zum Finden von Kollisionen wurden demonstriert — ein Angreifer kann zwei verschiedene Dateien mit demselben MD5-Hash erstellen. SHA-256 hat einen 256-Bit-Ausgang (10^77 mögliche Werte) und es gibt keine bekannten praktischen Kollisionsangriffe. Kollisionen sind bei digitalen Signaturen und Zertifikaten wichtig: Wenn Sie eine Kollision erzeugen können, könnten Sie möglicherweise eine Signatur fälschen.

Aktivieren Sie den Batch-Modus und geben Sie pro Zeile einen Wert in die Texteingabe ein. Jede Zeile wird separat gehasht. Die Ergebnistabelle zeigt die Eingabe und deren Hash-Werte für jeden ausgewählten Algorithmus nebeneinander an. Laden Sie alles als CSV-Datei herunter, um sie in Excel, eine Datenbank oder eine beliebige Datenverarbeitungspipeline zu importieren. Dies ist nützlich, um massenweise Hashes für eine Liste von Passwörtern, API-Keys oder Dateiprüfsummen zu generieren.

Ein regulärer Hash wie SHA-256 ist schlüssellos — jeder kann aus derselben Eingabe denselben Hash berechnen. Dies ist für die Integritätsprüfung (Dateidownloads) in Ordnung, aber nicht für die Authentifizierung geeignet. HMAC (Hash-based Message Authentication Code) kombiniert eine Hash-Funktion mit einem geheimen Schlüssel: HMAC-SHA256(key, message). Der resultierende Code kann nur von jemandem verifiziert werden, der den Schlüssel kennt. HMACs werden für die Signierung von API-Anfragen (AWS Signature V4, JWT mit HS256), die Verifizierung von Webhooks (GitHub, Stripe) und die Cookie-Integrität verwendet. Dieses Tool generiert Standard-Hashes (ohne Schlüssel). Für HMAC benötigen Sie ein Tool oder Code, der einen Schlüssel akzeptiert.

Wenn Sie Software herunterladen, veröffentlicht der Anbieter normalerweise eine SHA-256 (oder MD5) Prüfsumme neben dem Download-Link. Durch das Berechnen des Hashs Ihrer heruntergeladenen Datei und den Vergleich mit dem veröffentlichten Wert können Sie überprüfen: (1) dass die Datei während der Übertragung nicht beschädigt wurde — selbst ein einziges umgekehrtes Bit ändert den Hash vollständig, (2) dass die Datei nicht durch einen Man-in-the-Middle-Angriff oder einen kompromittierten Mirror manipuliert wurde. Dies ist besonders wichtig für Sicherheitswerkzeuge, OS-Images und jede Software, die Sie mit erhöhten Berechtigungen ausführen planen. Nutzen Sie das integrierte Vergleichsfeld: Fügen Sie den erwarteten Hash ein und das Tool teilt Ihnen sofort mit, ob diese übereinstimmen.

Nein, nicht direkt. Reguläre Hash-Funktionen (SHA-256, SHA-512, MD5) sind darauf ausgelegt, schnell zu sein — eine moderne GPU kann Milliarden von SHA-256-Hashes pro Sekunde berechnen. Für Passwörter benötigen Sie Funktionen, die speziell darauf ausgelegt sind, langsam zu sein: bcrypt (kostenanpassierbar, OWASP empfiehlt ein Minimum von 10), scrypt (memory-hard) oder Argon2 (die derzeit empfohlene Wahl). Diese Funktionen benötigen 100-300 ms pro Verifizierung, was für Benutzer nicht spürbar ist, aber das Brute-Forcing von Milliarden von Versuchen unpraktisch macht. Nutzen Sie dieses Tool für die Dateiüberprüfung, Datenfingerprinting und Integritätsprüfungen — verwenden Sie bcrypt/Argon2 für Passwörter.

Nein. Alle Hash-Berechnungen laufen in Ihrem Browser unter Verwendung der Web Crypto API (für SHA-Varianten) und JavaScript (für MD5-Kompatibilität). Ihr Text, Ihre Dateien und Ihre Passwörter verlassen niemals Ihr Gerät.