Hash-Generator
MD5, SHA-1, SHA-256, SHA-512 und HMAC — berechnet in deinem Browser
Über dieses Tool
Berechne MD5-, SHA-1-, SHA-256-, SHA-384- und SHA-512-Digests beliebigen Texts, plus HMAC-Signaturen mit Schlüssel — direkt im Browser. Die SHA-Familie und HMAC nutzen die Web Crypto API, dieselben auditierten Primitiven, die dein Browser für TLS verwendet, während MD5 (das Web Crypto bewusst weglässt) als kleine lokale Implementierung für Legacy-Checksummen mitgeliefert wird.
Hashes aktualisieren sich live beim Tippen, und jeder Algorithmus wird gleichzeitig berechnet — einen Wert gegen eine Checksumme zu vergleichen, egal welchen Algorithmus eine Download-Seite gewählt hat, braucht also keine Konfiguration. Der HMAC-Modus fügt ein Feld für den Secret Key hinzu, um Webhook-Signaturen zu prüfen — GitHub, Stripe und die meisten Webhook-Anbieter signieren Payloads mit HMAC-SHA256.
Da die Eingabe die Seite nie verlässt, kannst du gefahrlos Dinge hashen, die du keinem Online-Dienst geben könntest: API-Payloads, Passwörter, die du gegen eine Liste geleakter Hashes prüfst, interne Dokumente.
Häufige Fragen
- Welchen Hash-Algorithmus sollte ich verwenden?
- Für alles Sicherheitsrelevante heute: SHA-256 oder stärker. MD5 und SHA-1 sind bei der Kollisionsresistenz gebrochen — zwei verschiedene Eingaben mit demselben Digest lassen sich konstruieren — sie überleben nur noch für nicht-adversariale Checksummen und Legacy-Protokollkompatibilität.
- Warum wird MD5 überhaupt noch angeboten?
- Weil es dir noch begegnet: ETags, Cache-Keys, Datei-Manifeste, alte Datenbankspalten. Solche Werte zu verifizieren erfordert MD5 zu berechnen, unabhängig von seinem kryptografischen Status. Nur nichts Neues darauf aufbauen.
- Was ist HMAC und wie unterscheidet es sich von einem einfachen Hash?
- HMAC mischt einen geheimen Schlüssel ins Hashing, sodass nur Schlüsselinhaber den Digest erzeugen oder verifizieren können. Ein einfacher Hash beweist Integrität („diese Daten sind unverändert“); ein HMAC beweist zusätzlich Authentizität („jemand mit dem Schlüssel hat das erzeugt“). Der Alltagsfall ist die Verifikation von Webhook-Signaturen.
- Ist Hashen dasselbe wie ein Passwort verschlüsseln?
- Nein — und schnelle Hashes wie SHA-256 sind das falsche Werkzeug zum Speichern von Passwörtern: Angreifer können Milliarden pro Sekunde durchprobieren. Passwortspeicherung braucht einen bewusst langsamen, gesalzenen Algorithmus: bcrypt, scrypt oder Argon2.