Prüfsumme einer Datei prüfen (SHA-256)

Was eine Prüfsumme verrät

Eine Prüfsumme ist ein kurzer Fingerabdruck, der aus jedem Byte einer Datei berechnet wird. Stimmt die Prüfsumme deines Downloads mit der vom Entwickler veröffentlichten überein, ist die Datei identisch. Weicht auch nur ein Byte ab, weil der Download abgebrochen ist oder jemand die Datei verändert hat, ist die Prüfsumme völlig anders.

Im Browser

1. Öffne den Hash-Generator.
2. Wähle die heruntergeladene Datei. Ihre Hashes werden auf deinem Computer berechnet.
3. Füge die veröffentlichte Prüfsumme unter „Vergleichen mit“ ein. Eine Übereinstimmung wird sofort bestätigt.

Unter Windows

In der Eingabeaufforderung:

certutil -hashfile datei.iso SHA256

Oder in PowerShell, das standardmäßig SHA-256 nutzt:

Get-FileHash datei.iso

Auf dem Mac

shasum -a 256 datei.iso

Unter Linux

sha256sum datei.iso

MD5 und SHA-1

Manche Websites veröffentlichen noch MD5- oder SHA-1-Prüfsummen. Für abgebrochene Downloads reichen sie, gegen absichtliche Manipulation nicht, weil sich passende Fälschungen erzeugen lassen. Nimm SHA-256, wenn es angeboten wird.

Ein Beispiel

Erstelle eine Textdatei, die nur das Wort hello enthält, ohne Zeilenumbruch danach. Ihre SHA-256-Prüfsumme ist

2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

Drück nach dem Wort die Eingabetaste und speichere erneut. Die Datei ist ein Byte länger, und die Prüfsumme lautet jetzt

5891b5b522d5df086d0ff0b110fbd9d21bb4fc7163af34d08286a2e846f6be03

Der zweite Hash hat mit dem ersten nichts gemeinsam. Genau dafür gibt es Prüfsummen: Jede Änderung, egal wie klein, ergibt ein völlig anderes Ergebnis.

Häufige Probleme

• Die Hashes stimmen fast überein. Ein „fast“ gibt es nicht. Entweder stimmt jedes Zeichen, oder die Dateien sind verschieden. Vergleiche die ganze Zeichenfolge, nicht nur die ersten und letzten Zeichen. Groß- und Kleinbuchstaben gelten als gleich.
• Du hast mit der falschen Datei verglichen. Downloadseiten nennen oft mehrere Prüfsummen, für Installer, Disk-Image, 32 und 64 Bit. Prüfe auch den Dateinamen.
• Die Prüfsumme steht direkt neben dem Download. Sie beweist, dass die Datei unterwegs nicht beschädigt wurde. Würde der Server selbst gehackt, könnten beide ausgetauscht sein. Projekte, die ihre Prüfsummendateien signieren (.asc oder .sig), lassen dich die Signatur mit GPG prüfen und das ausschließen.