Downloads und Dateiintegrität mit Prüfsummen verifizieren

Ein kryptografischer Hash macht aus einer Eingabe einen Fingerabdruck fester Länge. Selbst eine Änderung um ein Bit verändert den Digest mit überwältigender Wahrscheinlichkeit; ein moderner Digest aus vertrauenswürdiger Quelle ist daher ein starkes Indiz für identische Bytes zweier Dateikopien.

• Indiz für IntegritätEin passender, vertrauenswürdiger SHA-256-Digest ist ein starkes Indiz dafür, dass deine Kopie dieselben Bytes wie die Datei des Herausgebers enthält; er beweist nicht, wer sie veröffentlicht hat.
• Authentizität getrenntAuthentizität nicht: Eine neben dem Download gedruckte Prüfsumme sagt nichts darüber, wer die Datei geschrieben hat – ein Angreifer, der den Download austauscht, kann auch die gedruckte Prüfsumme austauschen.
• Signaturen sind ein anderes WerkzeugAuthentizität braucht einen anderen Mechanismus: eine Signatur, verifiziert gegen einen Schlüssel, dem du bereits vertraust, oder eine Prüfsumme über einen Kanal, dem du mehr vertraust als dem Download selbst.

MD5 erzeugt einen 128-Bit-Hashwert, geschrieben als 32 Hexadezimalzeichen; SHA-1 erzeugt 160 Bits als 40 Zeichen. Beide sind schnell und taugen, um versehentliche Beschädigung zu erkennen – und beide haben öffentlich demonstrierte Kollisionen, also widersteht keiner einem Angreifer, der eine bösartige Datei mit passendem Hashwert baut.

Die praktische Regel: Ein MD5- oder SHA-1-Treffer fängt weiterhin einen abgeschnittenen Download oder eine defekte Festplatte, denn Unfälle berechnen keine Kollisionen. Was diese Algorithmen nicht mehr können, ist, eine Datei freizugeben, der du Grund hast zu misstrauen – dieses Urteil gehört jetzt SHA-256 oder besser.

• MD5 ist gebrochenMD5-Kollisionen sind seit Jahren praktikabel: Zwei verschiedene Dateien mit demselben MD5-Hashwert lassen sich gezielt konstruieren, MD5 kann also Unfall nicht mehr von Angriff unterscheiden.
• SHA-1 ist gebrochenSHA-1 ging denselben Weg: Eine demonstrierte Kollision beendete sein Leben als Sicherheitsprimitiv, und Browser, Zertifizierungsstellen und Code-Hoster sind alle weitergezogen.
• SHA-2 ist die BasislinieDie SHA-2-Familie ist die aktuelle Basislinie: SHA-256 (64 Hex-Zeichen) ist der Standard für veröffentlichte Download-Prüfsummen, mit SHA-224, SHA-384 und SHA-512 (56, 96 und 128 Zeichen) als Geschwister für unterschiedliche Randbedingungen.

Der ganze Check dauert unter einer Minute und nutzt Werkzeuge, die bereits auf deinem Rechner sind. Die Reihenfolge zählt: Hol den erwarteten Hashwert von der offiziellen Seite des Herausgebers, hashe deine lokale Kopie und vergleiche jedes Zeichen.

Ein Mismatch ist nicht immer Bosheit – abgeschnittene Downloads und Caching-Proxys beschädigen Dateien routinemäßig –, aber die Reaktion ist in beiden Fällen dieselbe: Die Datei fällt durch die Verifizierung, und der einzig richtige nächste Schritt ist eine frische Kopie von der Quelle.

• Den erwarteten Wert holenFinde die veröffentlichte Prüfsumme auf der offiziellen Download- oder Release-Seite des Anbieters – idealerweise über HTTPS auf einer Domain, zu der du selbst navigiert bist, nicht über einen Mirror oder ein Suchergebnis-Snippet.
• Lokal hashenHashe die heruntergeladene Datei lokal: shasum -a 256 auf macOS oder Linux oder Get-FileHash in PowerShell unter Windows. Beide laufen gegen deine Festplatte; nichts wird hochgeladen.
• Exakt vergleichenVergleiche den vollständigen Hashwert Zeichen für Zeichen, ohne Beachtung der Groß-/Kleinschreibung. Ein einziges abweichendes Zeichen heißt: Datei verwerfen und eine frische Kopie von der Quelle holen – nicht installieren und hoffen.

Viele echte Prüfungen sind Text, keine Dateien: ein Konfigurations-Snippet, ein Lizenzschlüssel, ein Token-Fragment, ein Wert, den ein Kollege am Telefon diktiert hat. Wer das auf einer beliebigen Website einfügt, übergibt es fremden Logs – das Hashing muss also lokal passieren.

SHA-256 Hash & Verify deckt den 64-Zeichen-Standard für veröffentlichte Prüfsummen ab. Verifizieren ist dort Vergleichen, nicht Entschlüsseln: Dein Text wird gehasht, und die beiden Werte werden im Browser verglichen.

• Lokal von Grund aufText wird als UTF-8 ohne Normalisierung gehasht (1 MiB). Dateien werden als Original-Bytes in 1-MiB-Chunks gehasht (Limit 256 MiB), inklusive leerer Dateien. Ein Hashwert-Treffer authentifiziert nicht die Quelle; MD5 und SHA-1 sind für Integritätsprüfungen unter Gegnern ungeeignet. Die Verarbeitung läuft in einem abbrechbaren lokalen Worker mit einem Ausführungsbudget von 15 Sekunden.
• Expliziter VergleichDer Modus Verifizieren ist ein expliziter Vergleich: Füge den erwarteten Hashwert ein, und der Arbeitsbereich meldet Treffer oder Nicht-Treffer und lehnt fehlerhafte Werte vorab ab – exakt 32 Hex-Zeichen für MD5, 64 für SHA-256.
• Einweg per KonstruktionEin Digest lässt sich nicht entschlüsseln, aber kurze oder vorhersehbare Eingaben können geraten und erneut gehasht werden. Schütze Passwörter und andere Geheimnisse mit geringer Entropie nicht mit einem allgemeinen Hash ohne Salt.

Prüfsummen funktionieren nur, wenn ihr Vergleich Gewohnheit ist statt nachträglicher Einfall. Ein paar kleine Disziplinen machen den Check jedes Mal verlässlich.

Erzeuge oder vergleiche einen hexadezimalen Hashwert aus UTF-8-Text oder originalen Datei-Bytes. Die Verifizierung vergleicht Hashwerte der gewählten Eingabe lokal; sie entschlüsselt keinen Hashwert und authentifiziert nicht seine Quelle.

• Voller VergleichVergleiche jedes Zeichen. Nur wenige Zeichen zu prüfen, schwächt jede Digest-Prüfung; bei MD5 und SHA-1 können auch bei vollständigem Vergleich Kollisionen des gesamten Digests auftreten.
• Den Algorithmus nennenBewahre den Algorithmusnamen beim Hashwert: 64 Hex-Zeichen können von mehreren Algorithmen stammen, und eine Prüfsumme ohne ihr Label lädt zum Raten ein.
• Pro Etappe neu hashenHashe neu, nachdem eine Datei über USB-Sticks, Sync-Clients oder E-Mail gewandert ist; jede Etappe ist eine neue Chance auf Beschädigung, und der Hashwert reist kostenlos mit.

Wenn du Dateien verteilst – ein Release-Binary, einen Datensatz, ein internes Tool –, veröffentliche Prüfsummen daneben. Das kostet einen Befehl pro Artefakt und gibt jedem Empfänger einen Weg, Integrität zu verifizieren, ohne dich zu kontaktieren.

SHA-512 Hash & Verify erzeugt den 128-Zeichen-Hashwert lokal, wenn du die längere Form brauchst, und die Geschwister SHA-224 und SHA-384 decken den Rest der SHA-2-Familie ab – gleiche Engine, gleicher Tab, gleiche Grenze.

• Mindestens SHA-256Veröffentliche mindestens SHA-256; ergänze SHA-512, wenn dein Publikum auf Plattformen verifiziert, wo es schneller läuft, und beschrifte jeden Hashwert mit seinem Algorithmus.
• Gleiche VertrauensebeneStelle die Prüfsummen auf derselben Vertrauensebene bereit wie den Download selbst, idealerweise von einer Seite oder einem Repository, die deine Nutzer bereits als maßgeblich ansehen.
• MD5 als Legacy-LabelBehalte MD5-Zeilen nur als Legacy-Kompatibilitätslabel, klar markiert als Integritätscheck gegen versehentliche Beschädigung – nie als Sicherheitsverifizierung.