MD5, SHA-256 und Hashes erklärt

Eine Hashfunktion erzeugt aus beliebig großen Daten einen „Fingerabdruck“ fester Länge. Gleiche Daten ergeben immer dasselbe Ergebnis; ein geändertes Zeichen verändert es völlig.

Wo Hashes genutzt werden

Mit dem auf Downloadseiten veröffentlichten SHA-256 prüfen Sie, ob eine Datei vollständig und unverändert ist. Hashes stecken auch in digitalen Signaturen, Git und Cache-Schlüsseln.

Warum MD5 und SHA-1 ausgedient haben

Für MD5 und SHA-1 lassen sich zwei verschiedene Eingaben mit gleichem Hash (Kollision) erzeugen; für Sicherheitszwecke sind sie tabu. Für nicht sicherheitsrelevante Aufgaben wie das Erkennen versehentlicher Beschädigung taugen sie noch. Für Sicherheit SHA-256 oder SHA-512.

Ein Hash ist keine Verschlüsselung

Ein Hash ist eine Einwegfunktion; das Original lässt sich nicht „entschlüsseln“. Bei kurzen oder vorhersehbaren Daten kann ein Angreifer aber Kandidaten durchprobieren, bis einer denselben Hash ergibt.

Einfache Hashes reichen für Passwörter nicht

MD5 und SHA-256 sind sehr schnell – Angreifer testen Milliarden Passwörter pro Sekunde. Passwörter gehören in absichtlich langsame, gesalzene Verfahren wie bcrypt oder Argon2; in PHP erledigt das password_hash().

Der Hash-Generator berechnet fünf Algorithmen im Browser und vergleicht sie mit einem angegebenen Wert.