SHA-256 Hash Generator & Prüfsummen-Tool

Was ist SHA-256?

// Hash text using Web Crypto API (SHA-256)
async function sha256(text) {
  const data = new TextEncoder().encode(text);
  const hash = await crypto.subtle.digest('SHA-256', data);
  return Array.from(new Uint8Array(hash))
    .map(b => b.toString(16).padStart(2, '0'))
    .join('');
}

await sha256('Hello, World!');
// → 'dffd6021bb2bd5b0af676290809ec3a53191dd81c7f70a4b28688a362182986f'

SHA-256-Beispiele

ubuntu-24.04.iso

-----BEGIN CERTIFICATE-----MIIDXTCCAkWg...

/* CSS-Dateiinhalt */

password123

ef92b778bafe771e89245b89ecbc08a44a4e166c06659911881f383d4473e94f

SHA-256-Hashes generieren

1. 1

   Text einfügen oder Datei einspielen

   Wähle den Reiter "Text" und füge einen beliebigen String in den Eingabebereich ein, oder wechsle zum Reiter "Datei" und ziehe eine Datei von deinem Desktop in die Drop-Zone. Der SHA-256-Algorithmus ist bereits aktiv. Hashing geschieht während der Eingabe — kein Klicken auf "Generieren" erforderlich. Für Dateien wird ein Fortschrittsanzeiger bei großen Uploads angezeigt (>10 MB).

2. 2

   Den 64-Zeichen-Hash kopieren

   Klicke auf die Kopieren-Schaltfläche neben der Hash-Ausgabe. Der vollständige 64-Zeichen-Hex-Wert wird in die Zwischenablage kopiert. Nutze den Groß-/Kleinbuchstaben-Schalter, wenn dein System ein bestimmtes Format erfordert — Git nutzt Kleinbuchstaben, einige Windows-Tools verwenden standardmäßig Großbuchstaben.

3. 3

   Mit dem Reiter "Vergleichen" verifizieren

   Wechsle zum Reiter "Vergleichen" und füge zwei SHA-256-Hashes ein (z. B. deinen und den eines Herausgebers). Das Tool meldet Übereinstimmung/Nichtübereinstimmung mit zeitkonstantem Vergleich. Nützlich zur Verifizierung heruntergeladener ISO-Dateien, Container-Image-Digests oder signierter JAR-Fingerprints.

Technische Details

Algorithmus: SHA-2-Familie, Merkle-Damgård-Konstruktion

SHA-256 verarbeitet Eingaben in 512-Bit-Blöcken und wendet 64 Runden bitweiser Operationen (Rotationen, XORs, Additionen modulo 2^32) mit Konstanten an, die aus den Kubikwurzeln der ersten 64 Primzahlen abgeleitet werden. Der endgültige Hash ist der interne Zustand nach dem letzten Block. Implementierung: FIPS 180-4, Abschnitte 4.2 und 6.2.

Ausgabe: 256 Bit, 64 Hex-Zeichen

Immer genau 64 Zeichen im Bereich [0-9a-f] (Kleinbuchstaben) oder [0-9A-F] (Großbuchstaben). Verschiedene Kodierungen (Base64, Base64URL) kürzen den String; dieses Tool gibt die kanonische Hex-Form aus.

Performance: ~500 MB/s im Browser, ~2 GB/s nativ

Web Cryptos SHA-256-Implementierung ist kompiliertes C/Rust, das außerhalb der JS-VM läuft, sodass es mit nativen Tools konkurrenzfähig ist. Typische Browser-Hash-Rate: 300–800 MB/s. Eine 1-GB-Datei wird in 1–3 Sekunden gehasht.

Standards: FIPS 180-4, RFC 6234, NIST SP 800-107

Derzeit von NIST für alle Sicherheitsstärken bis 2030 und darüber hinaus genehmigt. Von PCI DSS 4.0 für die Integrität von Karteninhaberdaten, von FedRAMP und von Common Criteria EAL2+-Bewertungen gefordert.

Best Practices

Immer UTF-8-Bytes hashen, keine Unicode-Code-Points

Verschiedene Kodierungen derselben Zeichenkette erzeugen unterschiedliche Hashes. UTF-8 ist der De-facto-Standard; dieses Tool kodiert Eingaben als UTF-8 vor dem Hashen. Wenn du ein Tool abgleichen musst, das UTF-16 (einige Windows-APIs) oder Latin-1 verwendet, musst du extern vorkodieren.

Zeitkonstanten Vergleich bei der Verifizierung verwenden

Wenn du zwei Hashes im Code vergleichst, verwende eine zeitkonstante Gleichheitsprüfung (timingsafe_equal in Node.js, hmac.compare_digest in Python). Naives === oder strcmp gibt Timing-Informationen preis, die ausgenutzt werden können, um den Hash zu rekonstruieren. Der Reiter "Vergleichen" dieses Tools verwendet bereits zeitkonstanten Vergleich.

Kürzen von SHA-256 ist für nicht-sicherheitsbezogene Zwecke akzeptabel

Für Cache-Busting-Dateinamen oder kurze Content-IDs ist die Verwendung der ersten 8 oder 16 Hex-Zeichen eines SHA-256-Hashes in Ordnung — die Kollisionswahrscheinlichkeit ist bei Internet-Maßstab immer noch astronomisch gering. Für kryptografischen Einsatz (Signaturen, Fingerprints) behalte immer die vollen 64 Zeichen.

Mit einem Salt für jeden schlüsselbasierten Einsatz kombinieren

Wenn du SHA-256 verwendest, um einen Schlüssel oder Token aus einem Geheimnis abzuleiten, füge immer einen eindeutigen Salt pro Eingabe hinzu. Ohne Salt erzeugen identische Eingaben identische Hashes — was Informationen preisgibt. Besser: HKDF (RFC 5869) oder HMAC-SHA-256 anstelle von rohem SHA-256 für die Schlüsselableitung verwenden.

SHA-256 FAQ