Datei-Prüfsumme

Downloads prüfen, ohne die Datei hochzuladen

Eine Datei-Prüfsumme ist ein kurzer Fingerabdruck der exakten Bytes einer Datei. Softwareprojekte veröffentlichen häufig SHA-Prüfsummen neben Installern, Archiven und Firmware-Images, damit Sie bestätigen können, dass ein Download unversehrt angekommen ist. Dieses Tool liest die ausgewählte Datei in Ihrem Browser, übergibt die Bytes an crypto.subtle.digest und zeigt die Ergebnisse für SHA-1, SHA-256 und SHA-512 als hexadezimalen Text in Kleinbuchstaben an. Die Datei verlässt Ihr Gerät nie. Damit eignet sich die Seite zum Prüfen privater Dokumente, großer Downloads oder interner Build-Artefakte, wenn Sie die Datei nicht an einen Onlinedienst schicken möchten, nur um einen Digest zu berechnen.

Einen erwarteten Hash vergleichen

Fügen Sie die vom Herausgeber bereitgestellte Prüfsumme vor oder nach der Berechnung in das Feld für den erwarteten Hash ein. Der Vergleich ignoriert Leerzeichen, Doppelpunkte und Groß- und Kleinschreibung, sodass sich aus Release Notes, Paketmanagern oder der Terminalausgabe kopierte Hashes leichter prüfen lassen. Eine Übereinstimmung bedeutet, dass die gewählte Datei für diesen Algorithmus dieselben Bytes hat. Ein fehlender Treffer sollte sorgfältig behandelt werden: Möglicherweise haben Sie eine andere Version gewählt, den falschen Algorithmus kopiert, eine unvollständige Datei heruntergeladen oder veränderte Inhalte erhalten. Laden Sie die Datei erneut von der offiziellen Quelle herunter und vergleichen Sie sie mit einer vertrauenswürdigen Seite, bevor Sie etwas Sensibles installieren oder öffnen.

Grenzen von Prüfsummen und sichere Gewohnheiten

Prüfsummen eignen sich hervorragend, um versehentliche Beschädigungen zu erkennen und zu bestätigen, dass zwei Kopien identisch sind. Sie sind aber nur so vertrauenswürdig wie die Quelle des erwarteten Werts. Kann ein Angreifer sowohl die Datei als auch den veröffentlichten Hash austauschen, kann eine Prüfsumme allein die Echtheit nicht belegen. Bevorzugen Sie SHA-256 oder SHA-512 von einer HTTPS-Release-Seite, einer Paketregistry oder einer signierten Ankündigung. SHA-1 ist enthalten, weil ältere Projekte es noch veröffentlichen, eignet sich aber nicht für neue sicherheitskritische Abläufe. Achten Sie bei wichtiger Software zusätzlich auf Code-Signierung, getrennte Signaturen oder Informationen zu reproduzierbaren Builds. Dieses Browser-Tool ist ein privater erster Schritt: Es liefert Ihnen den Digest lokal, damit Sie ihn mit der stärksten verfügbaren Quelle vergleichen können.