MD5- und SHA-256-Hash-Prüfer

Eine Prüfsumme, auch Hash genannt, ist eine kurze Folge aus Buchstaben und Zahlen, die aus jedem einzelnen Byte einer Datei berechnet wird. Dieselbe Datei ergibt immer dieselbe Prüfsumme, und schon ein einziges geändertes Byte ergibt eine völlig andere. Damit ist sie ein Fingerabdruck für den Inhalt der Datei.

Softwareanbieter geben die Prüfsumme neben ihren Downloads an. Wenn du die Prüfsumme der heruntergeladenen Datei berechnest und sie mit ihrer übereinstimmt, weißt du, dass du genau die veröffentlichte Datei hast und keine beschädigte oder veränderte Kopie.

• Beschädigte Downloads: Eine abgebrochene Verbindung oder eine defekte Festplatte kann eine große Datei ohne jede Fehlermeldung beschädigen. Ein kaputtes ISO-Image scheitert oft mitten in einer Installation, lange nachdem du vergessen hast, woher es stammt.
• Manipulierte Dateien: Angreifer, die in einen Download-Mirror eindringen, können eine Datei gegen eine mit Malware austauschen. 2016 wurde die Website von Linux Mint gehackt, und der Downloadlink führte zu einem ISO mit einer Hintertür.
• Die falsche Datei: Ein Prüfsummenvergleich entdeckt auch eine verwechselte Version, etwa einen ARM-Build statt x64 oder eine ältere Version aus einem Cache.

1. Ziehe deine heruntergeladene Datei in das Tool oben oder klicke, um sie auszuwählen.
2. Kopiere die Prüfsumme von der Downloadseite und füge sie in das Feld für die erwartete Prüfsumme ein.
3. Das Tool zeigt dir, ob sie übereinstimmen. Es erkennt MD5, SHA-1, SHA-256 und SHA-512 an der Länge der Prüfsumme.

Du kannst auch eine ganze Zeile aus einer Prüfsummendatei einfügen, etwa 9f86d0...0a08 *ubuntu.iso, und die Prüfsumme wird automatisch herausgefiltert.

Warum es für private Dateien sicher ist

Die meisten Online-Hash-Rechner laden deine Datei zuerst auf ihren Server hoch. Dieses Tool nutzt die Rechenleistung deines Browsers, um die Datei in kleinen Stücken zu lesen, sodass nichts dein Gerät verlässt. Das heißt auch: Du musst auf keinen Upload warten, und sehr große Dateien funktionieren.

Windows hat ein Prüfsummen-Tool in der PowerShell eingebaut. Öffne die PowerShell (suche im Startmenü danach), wechsle in den Ordner mit deiner Datei und führe Folgendes aus:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Standardmäßig wird die SHA-256-Prüfsumme ausgegeben. Für andere Algorithmen hängst du -Algorithm MD5, -Algorithm SHA1 oder -Algorithm SHA512 an. Um mit der erwarteten Prüfsumme zu vergleichen, ohne sie Zeichen für Zeichen abzulesen, führe Folgendes aus:

(Get-FileHash .\ubuntu.iso).Hash -eq "erwartete-pruefsumme-hier-einfuegen"

Die PowerShell gibt True aus, wenn sie übereinstimmen, und False, wenn nicht. In der älteren Eingabeaufforderung verwendest du stattdessen certutil -hashfile ubuntu.iso SHA256.

Öffne das Terminal (unter Programme > Dienstprogramme), wechsle in den Ordner mit deiner Datei und führe Folgendes aus:

cd ~/Downloads
shasum -a 256 app.dmg

Ersetze 256 durch 1 oder 512 für SHA-1 oder SHA-512. Für MD5 führst du md5 app.dmg aus. Damit das Terminal die Prüfsummen für dich vergleicht, führe Folgendes aus:

echo "erwartete-pruefsumme-hier-einfuegen  app.dmg" | shasum -a 256 -c

Es gibt app.dmg: OK aus, wenn sie übereinstimmen. Achte auf die zwei Leerzeichen zwischen der Prüfsumme und dem Dateinamen.

Jede große Linux-Distribution bringt Prüfsummen-Tools mit. Führe in einem Terminal Folgendes aus:

sha256sum ubuntu.iso

Dasselbe funktioniert mit md5sum, sha1sum und sha512sum. Viele Projekte veröffentlichen eine Prüfsummendatei, oft SHA256SUMS genannt, die alle ihre Downloads auflistet. Lege sie in denselben Ordner wie deine Datei und führe Folgendes aus:

sha256sum -c SHA256SUMS --ignore-missing

Für jede passende Datei wird ubuntu.iso: OK ausgegeben. --ignore-missing überspringt die aufgelisteten Dateien, die du nicht heruntergeladen hast.

Alle vier erfüllen denselben Zweck, aber MD5 und SHA-1 sind nicht mehr sicher gegen jemanden, der eine Datei gezielt fälscht. Versehentliche Beschädigungen erkennen sie weiterhin, deshalb stehen sie noch auf vielen Downloadseiten.

Wenn eine Downloadseite mehrere Prüfsummen anbietet, verwende SHA-256 oder SHA-512.

Öffne oder installiere die Datei nicht. Geh dann diese Punkte durch, den wahrscheinlichsten zuerst:

• Prüfe, ob du denselben Algorithmus vergleichst. Eine SHA-256-Prüfsumme stimmt nie mit einer MD5-Prüfsumme überein.
• Prüfe, ob du genau die Version heruntergeladen hast, für die die Prüfsumme gilt, einschließlich Versionsnummer und ob es x64 oder ARM ist.
• Lösche die Datei und lade sie erneut herunter, am besten von der offiziellen Website statt von einem Mirror.
• Wenn auch ein neuer Download von der offiziellen Website nicht übereinstimmt, kontaktiere den Anbieter und verwende die Datei nicht.

Eine übereinstimmende Prüfsumme beweist, dass deine Datei mit der Datei identisch ist, aus der die Prüfsumme berechnet wurde. Sie beweist nicht, dass diese Datei sicher ist. Wenn Angreifer die Website kontrollieren, können sie sowohl den Download als auch die Prüfsumme daneben austauschen.

Für besseren Schutz holst du die Prüfsumme von einer anderen Stelle als die Datei, etwa von der offiziellen Website, wenn du von einem Mirror heruntergeladen hast. Manche Projekte signieren ihre Prüfsummendateien außerdem mit GPG, was beweist, dass die Prüfsummen vom Anbieter stammen.