Füge zwei Hashes ein: Das Tool normalisiert sie (Schreibweise, Leerzeichen, Doppelpunkte, Präfixe wie sha256-), zeigt, ob sie übereinstimmen, den wahrscheinlichen Algorithmus und die Position der ersten Abweichung.
Groß-/Kleinschreibung, Leerzeichen, Doppelpunkte und Präfixe wie „sha256-“ werden ignoriert.
Dieses Tool prüft, ob zwei Hashes identisch sind, ohne dass du sie Zeichen für Zeichen durchgehen musst. Damit vergleichst du die Prüfsumme eines Herstellers mit der selbst berechneten oder zwei Zertifikat-Fingerabdrücke in unterschiedlichen Formaten.
Vor dem Vergleich werden beide Werte normalisiert: in Kleinbuchstaben umgewandelt, von Leerzeichen, Zeilenumbrüchen und Doppelpunkten befreit und von einem führenden Algorithmus-Präfix wie „sha256-“ oder „sha256=“ bereinigt. Dadurch gelten „AB:CD:EF“ und „abcdef“ als gleich, ebenso „sha256=2cf24d…“ (das Format von GitHub) und „2cf24d…“. Aus der Länge des normalisierten Werts wird dann der Algorithmus geschätzt: 32 Hex-Zeichen für MD5, 40 für SHA-1, 64 für SHA-256, 96 für SHA-384 und 128 für SHA-512. Diese Erkennung ist nur eine Wahrscheinlichkeit, denn auch SHA3-256 oder BLAKE2s liefern 64 Zeichen.
Der Vergleich läuft in konstanter Zeit: Das Tool geht alle Zeichen durch, statt bei der ersten Abweichung abzubrechen – eine übliche Vorsichtsmaßnahme, damit die Laufzeit nicht verrät, wo sich zwei Geheimnisse unterscheiden. Stimmen die Werte nicht überein, wird die Position des ersten abweichenden Zeichens angezeigt, was hilft, eine abgeschnittene Kopie oder einen Markierungsfehler zu finden. Unterschiedliche Längen deuten meist auf zwei verschiedene Algorithmen hin, etwa ein SHA-1, das mit einem SHA-256 verglichen wird. Eine Übereinstimmung beweist nur, dass deine Datei mit der Referenzdatei identisch ist: Das Vertrauen hängt von der Quelle der Referenz ab, idealerweise einer offiziellen HTTPS-Seite oder einer signierten Datei.
Gib im ersten Feld den offiziellen oder erwarteten Hash ein, mit oder ohne Trennzeichen und Präfix.
Füge im zweiten Feld den Hash ein, den du berechnet oder erhalten hast.
Das Tool zeigt, ob beide Werte übereinstimmen, den wahrscheinlichen Algorithmus anhand der Länge und bei einer Abweichung die Position des ersten Unterschieds.
Füge den Wert von der Download-Seite (Ubuntu, VeraCrypt, Python …) und den von sha256sum oder Get-FileHash ein. PowerShell zeigt den Hash in Großbuchstaben, die Seite in Kleinbuchstaben: Das Tool vergleicht ohne Rücksicht auf die Schreibweise.
Browser und OpenSSL zeigen den SHA-256-Fingerabdruck eines Zertifikats oft als „AB:CD:…“. Vergleiche ihn mit einem Wert ohne Trennzeichen aus einer Konfigurationsdatei oder von einem Kollegen, um sicherzugehen, dass es dasselbe Zertifikat ist.
Vergleiche beim Debuggen den GitHub-Header X-Hub-Signature-256 mit dem Präfix „sha256=“ mit dem HMAC, den du selbst berechnet hast: Das Präfix wird automatisch ignoriert.
Eingabe
Referenz-Hash: AB:CD:EF; zu prüfender Hash: abcdefErgebnis
Die Hashwerte stimmen überein. Normalisierte Werte: abcdef und abcdef.Berechne den Hash der Datei mit dem vom Hersteller angegebenen Algorithmus, zum Beispiel mit sha256sum unter Linux, shasum -a 256 unter macOS, Get-FileHash unter Windows oder dem Hash-Generator. Füge dann diesen Wert und den offiziellen Wert in die beiden Felder ein. Stimmen sie überein, ist deine Datei mit der veröffentlichten identisch.
Bei Hex-Hashes nicht: „A1B2“ und „a1b2“ stehen für dieselben Bytes, deshalb liefern PowerShell (Großbuchstaben) und sha256sum (Kleinbuchstaben) gleichwertige Ergebnisse. In Base64 dagegen kodieren Groß- und Kleinbuchstaben unterschiedliche Werte. Vergleiche daher am besten die Hex-Form.
Die Länge ist der beste Hinweis: 32 Hex-Zeichen für MD5, 40 für SHA-1, 64 für SHA-256, 96 für SHA-384 und 128 für SHA-512. Sicher ist das nicht, weil andere Algorithmen dieselben Längen erzeugen (auch SHA3-256 liefert 64 Zeichen). Der Dateiname (SHA256SUMS) oder die Doku des Herstellers schafft Klarheit.
Deine Datei unterscheidet sich von der, mit der die Referenz berechnet wurde: abgebrochener Download, beschädigte Datei, falsche Version oder böswillige Änderung. Prüfe zuerst, ob du die richtige Datei mit demselben Algorithmus vergleichst, und lade sie dann erneut von der offiziellen Quelle herunter. Führe keine Datei aus, deren Hash nicht passt.
Ein einfacher Vergleich bricht beim ersten abweichenden Zeichen ab, sodass die Antwortzeit verraten kann, wie viele Zeichen stimmen. Serverseitig ist das bei HMAC-Signaturen oder Tokens ein echtes Risiko, deshalb gibt es crypto.timingSafeEqual oder hmac.compare_digest. Das Tool folgt derselben guten Praxis, auch wenn das Risiko in deinem eigenen Browser vernachlässigbar ist.
Nein, sie beweist nur, dass deine Datei mit der Referenzdatei identisch ist, nicht dass diese sauber ist. Wurden Website und Prüfsumme gemeinsam kompromittiert, stimmen beide Werte trotzdem überein. Eine mit dem Schlüssel des Herstellers geprüfte GPG- oder Sigstore-Signatur bietet diese zusätzliche Garantie.
Verwandte Werkzeuge
Werkzeuge, die diesem ähnlich sind oder es ergänzen.
Berechne MD5-, SHA-1-, SHA-256-, SHA-384- und SHA-512-Hashes eines Textes oder einer Datei auf einmal.
Berechne ein HMAC-SHA-1, SHA-256, SHA-384 oder SHA-512 in Hex oder Base64 und prüfe eine Webhook-Signatur.
Dekodiere ein X.509-Zertifikat oder eine CSR im PEM-Format: Subjekt, Aussteller, Daten, SANs, öffentlicher Schlüssel und SHA-256-Fingerabdruck.
Unterscheide Hashing, Verschlüsselung und Kodierung und verstehe SHA-256, SHA-3, Kollisionen sowie die Grenzen eines Hashes ohne Authentisierung.
Verstehe, wann Verschlüsselung, Hashing, HMAC oder PBKDF2 für Vertraulichkeit, Integrität, Authentifizierung und Passwörter eingesetzt werden.
Verstehe das Zusammenspiel von OAuth 2.0, PKCE, JWT, JWK und JWKS bei Autorisierung, Tokens, Schlüsseln und Verifizierung.
Verstehe, wie SRI-Hashes unerwartete Änderungen an externen Skripten und Stylesheets erkennen und wo die Grenzen liegen.