Wie verifiziere ich eine SHA-256-Prüfsumme?
Hashen Sie die heruntergeladene Datei und vergleichen Sie das Ergebnis mit der veröffentlichten Prüfsumme. Unter Windows: certutil -hashfile ihredatei SHA256; am Mac oder unter Linux: shasum -a 256 ihredatei; oder ziehen Sie die Datei in ein WebCrypto-basiertes Browser-Tool. Stimmt jedes Zeichen überein, ist die Datei unversehrt angekommen.
- Die veröffentlichte Prüfsumme finden. Download-Seiten listen sie nahe dem Dateilink, oft als SHA256SUMS-Datei oder als lange Hex-Zeichenkette mit der Beschriftung SHA-256. Kopieren Sie sie.
- Ihre heruntergeladene Kopie hashen. Kommandozeile: certutil -hashfile datei.iso SHA256 (Windows) oder shasum -a 256 datei.iso (Mac/Linux). Kein Terminal zur Hand? Ziehen Sie die Datei in den Hash-Generator unten — WebCrypto berechnet den Wert in Sekunden lokal.
- Die beiden Zeichenketten vergleichen. Fügen Sie beide sichtbar nebeneinander ein und vergleichen Sie. Identisch heißt: Ihre Kopie ist Byte für Byte das, was der Herausgeber veröffentlicht hat. Jede Abweichung — auch nur ein Zeichen — bedeutet einen beschädigten oder manipulierten Download: löschen und neu laden, idealerweise von einem vertrauenswürdigen Mirror.
Etwa zwei Minuten. Ein Treffer schließt Download-Korruption und stille Manipulation auf dem Übertragungsweg aus — genau der Grund, warum seriöse Projekte überhaupt Prüfsummen veröffentlichen.
Was eine übereinstimmende Prüfsumme tatsächlich beweist
SHA-256 ist ein Fingerabdruck: Jede noch so kleine Änderung an der Datei erzeugt einen völlig anderen Hash. Eine Übereinstimmung beweist, dass Ihre Kopie identisch mit dem ist, was die Prüfsumme beschreibt. Die Grenze: Kontrolliert ein Angreifer die Download-Seite selbst, kann er Datei und Prüfsumme gemeinsam austauschen — gegen diese Bedrohung setzen Projekte zusätzlich PGP-Signaturen auf die Prüfsummendatei.
Warum überhaupt im Browser verifizieren?
Der Prüfsummen-Workflow existiert ja gerade, weil Sie dem Übertragungsweg der Datei misstrauen — diese Datei dann auf eine „kostenlose Prüfsummen-Website“ hochzuladen, wäre selbstwidersprüchlich. Ein WebCrypto-basiertes Tool liest die Datei lokal und berechnet den Digest auf Ihrem Gerät; nichts wird übertragen. Es ist dasselbe Primitiv, das certutil und shasum nutzen — nur ohne Terminal.
MD5- und SHA-1-Prüfsummen auf alten Download-Seiten
Sie werden ihnen noch begegnen. Zufällige Beschädigungen erkennen beide zuverlässig, aber beide sind kryptografisch gebrochen — Kollisionen lassen sich konstruieren —, sie beweisen also keine Echtheit mehr gegenüber einem gezielten Angreifer. Bietet eine Seite die Wahl, verifizieren Sie immer gegen den SHA-256-Wert.
Passende Tools
So funktioniert es
Dateien oben ablegen, Qualität wählen, jedes Ergebnis einzeln oder alles als ZIP herunterladen. Sie können vor der Umwandlung sogar die Internetverbindung trennen.
Häufige Fragen
Die Prüfsummen stimmen nicht überein. Was jetzt?
Datei löschen und erneut herunterladen — die meisten Abweichungen sind unterbrochene oder beschädigte Übertragungen. Scheitert es zweimal aus derselben Quelle, laden Sie von einem offiziellen Mirror und begegnen Sie der ersten Quelle mit Misstrauen.
Ist der Vergleich per Auge zuverlässig?
Prüfen Sie mindestens die ersten und letzten acht Zeichen; besser fügen Sie beide Zeichenketten in ein Diff- oder Suchfeld ein und lassen die Werkzeuge vergleichen. Vierundsechzig Hex-Zeichen verliest man leicht.
Lässt sich eine riesige Datei im Browser hashen?
Ja — Hashing ist schnell und lokal. Mehrere Gigabyte große ISOs dauern wenige Sekunden; der limitierende Faktor ist die Lesegeschwindigkeit der Festplatte, nicht der Browser.