Prüfsumme einer Datei überprüfen (SHA-256 oder MD5)

Der schnelle Weg

Eine Prüfsumme (englisch Checksum) ist ein Fingerabdruck einer Datei. Ändert sich nur ein einziges Bit, ändert sich der Fingerabdruck komplett. Gleiche Werte beweisen also, dass beide Dateien Byte für Byte identisch sind. Anbieter von Betriebssystem-Images, Firmware, Passwortmanagern, Entwicklerwerkzeugen und Treibern geben genau dafür Prüfsummen neben ihren Downloads an.

Wähl im Tool unten die Datei aus oder zieh sie auf das Feld. Es berechnet MD5, SHA-1, SHA-256, SHA-384 und SHA-512 auf einmal. Füg den veröffentlichten Wert in Vergleichen mit ein, und das Tool sagt dir, welcher Algorithmus übereinstimmt oder dass keiner passt. Großbuchstaben, Leerzeichen und Präfixe wie sha256: werden ignoriert. Die Datei wird auf deinem Gerät gelesen und nie hochgeladen.

Welcher Algorithmus ist es? Die Länge verrät es

Downloadseiten sagen nicht immer, welchen Hash sie angeben. Die Länge der Hexadezimalzeichenkette verrät es:

Wo du die Prüfsumme findest

Der Wert steht meist direkt neben oder unter dem Downloadlink, unter einer Bezeichnung wie SHA256, Prüfsumme, Checksum, Hash oder Download überprüfen. Linux-Distributionen veröffentlichen eine eigene Textdatei namens SHA256SUMS mit einem Hash und Dateinamen pro Zeile. Projekte auf GitHub hängen an die Release-Seite oft eine Datei checksums.txt an oder kleine Dateien, die wie der Download heißen, mit angehängtem .sha256.

Firmware- und Treiberseiten geben manchmal nur einen MD5-Wert an. Der reicht, um versehentliche Beschädigung zu erkennen. Findest du gar keine Prüfsumme, sieh dir stattdessen die digitale Signatur der Datei an: Unter Windows klickst du mit der rechten Maustaste auf die Datei, wählst Eigenschaften und öffnest die Registerkarte Digitale Signaturen, um den Herausgeber zu sehen.

Prüfsumme unter Windows, Mac und Linux überprüfen

Jedes große System hat einen eingebauten Befehl. Öffne ein Terminal im Ordner mit der Datei und ersetze den Dateinamen durch deinen.

• Windows PowerShell: Get-FileHash .\datei.iso zeigt standardmäßig den SHA-256. Mit -Algorithm MD5 oder -Algorithm SHA512 bekommst du andere Hashes. PowerShell vergleicht Zeichenketten ohne Rücksicht auf Groß- und Kleinschreibung, du kannst also auch (Get-FileHash .\datei.iso).Hash -eq "erwarteter Wert" eingeben und bekommst True oder False.
• Windows-Eingabeaufforderung: certutil -hashfile datei.iso SHA256. Ersetze SHA256 nach Bedarf durch MD5, SHA1 oder SHA512.
• macOS-Terminal: shasum -a 256 datei.dmg für SHA-256, shasum -a 512 für SHA-512 und md5 datei.dmg für MD5.
• Linux: sha256sum datei.iso, sha512sum oder md5sum. Stellt der Anbieter eine Datei SHA256SUMS bereit, leg sie in denselben Ordner und führ sha256sum -c SHA256SUMS aus: Jede aufgeführte Datei zeigt OK oder FAILED.
• Jedes System mit Browser: das Tool auf dieser Seite. Das hilft auf abgesicherten Firmenrechnern, Chromebooks und Handys, auf denen du kein Terminal öffnen kannst.

Was eine Übereinstimmung beweist und was nicht

Eine Übereinstimmung beweist, dass deine Datei identisch mit der Datei ist, aus der die Prüfsumme berechnet wurde. Damit erkennst du die häufigsten Probleme: einen abgebrochenen Download, einen beschädigten USB-Stick oder eine defekte SD-Karte, einen fehlerhaften Spiegelserver oder einen Proxy, der die Datei verändert hat.

Sie beweist nicht, dass die Datei vertrauenswürdig ist, wenn ein Angreifer sowohl die Datei als auch die Seite mit der Prüfsumme kontrolliert. Wer in einen Downloadserver einbricht, kann Datei und veröffentlichten Hash zusammen austauschen. Deshalb signieren seriöse Projekte zusätzlich ihre Prüfsummendateien (etwa eine SHA256SUMS-Datei mit passender .gpg-Signatur) oder das Installationsprogramm selbst, das Windows dann als verifizierten Herausgeber anzeigt und macOS über die Notarisierung prüft. Bei wichtiger Software nimmst du die Prüfsumme aus einer anderen Quelle als die Datei: von der Hauptwebsite des Projekts, aus den Release Notes oder vom offiziellen Social-Media-Konto, nicht vom Spiegelserver, von dem du heruntergeladen hast.

MD5 und SHA-1 reichen weiterhin, um versehentliche Beschädigung zu erkennen, denn zufällige Schäden erzeugen keine Kollision. Gegen absichtliche Manipulation verlass dich nur auf SHA-256 oder stärker.

Wenn die Prüfsumme nicht übereinstimmt

• Prüf, ob du denselben Algorithmus vergleichst. Ein SHA-1-Wert passt nie zu einem SHA-256-Ergebnis. Das Tool vergleicht mit allen fünf Hashes gleichzeitig, um das auszuschließen.
• Stell sicher, dass du die richtige Datei hast. Downloadseiten bieten oft mehrere Versionen an (x64, ARM, Installer, portable), und jede hat ihre eigene Prüfsumme.
• Kopier den vollständigen Wert. Eine Prüfsumme, der ein Zeichen fehlt, passt nicht. Leerzeichen und Zeilenumbrüche im eingefügten Wert ignoriert das Tool.
• Lade die Datei erneut herunter, am besten von der offiziellen Quelle statt von einem Spiegelserver und mit stabiler Verbindung. Unvollständige Downloads sind die häufigste Ursache für eine Abweichung.
• Nutze die Datei nicht, wenn sie auch nach einem neuen Download von der offiziellen Website nicht übereinstimmt. Melde es dem Anbieter.
• Wenn du Text statt einer Datei hashst, ändern ein Zeilenumbruch am Ende oder eine andere Textkodierung das Ergebnis. Prüfsummen auf Downloadseiten werden immer aus der Datei selbst berechnet.

Große Dateien und Datenschutz

Manche Online-Prüfsummentools laden deine Datei auf einen Server hoch. Bei einem Disk-Image von 4 GB ist das langsam, und bei privaten Dokumenten, Backups oder unveröffentlichten Versionen ist es keine gute Idee. Der Prüfer auf dieser Seite liest die Datei im Browser direkt von deiner Festplatte; die SHA-Hashes berechnet die eingebaute Web-Crypto-Funktion des Browsers, und es wird nichts irgendwohin gesendet.

Dateien von mehreren hundert Megabyte funktionieren auf den meisten Computern und Handys. Weil die ganze Datei in den Arbeitsspeicher gelesen wird, können sehr große Images von mehreren Gigabyte das überschreiten, was ein Browser-Tab nutzen darf; dafür sind die Befehle oben die bessere Wahl.