Wofür nutzt man eine Prüfsumme?
Eine Prüfsumme dient der Integritäts- und Vollständigkeitsprüfung einer Datei. Du berechnest den Hashwert der heruntergeladenen Datei und vergleichst ihn mit dem vom Anbieter angegebenen Wert – stimmen beide überein, ist die Datei unverändert und vollständig übertragen worden.
So vergleichst du einen Downloadhash Schritt für Schritt
- Suche auf der Download-Seite den angegebenen Prüfsummenwert – meist als
„SHA-256” oder „MD5” gekennzeichnet, oft in einer eigenen
.sha256- oder.txt-Datei neben dem Download. - Berechne den Hashwert der heruntergeladenen Datei mit demselben
Algorithmus, zum Beispiel mit dem Hash-Rechner für
Text oder mit einem lokalen Kommandozeilenwerkzeug für Binärdateien
(unter Linux/macOS etwa
sha256sum datei, unter Windowscertutil -hashfile datei SHA256). - Vergleiche beide Werte Zeichen für Zeichen. Stimmen sie überein, ist die heruntergeladene Datei identisch mit der vom Anbieter bereitgestellten Version.
Was ein abweichender Hash bedeutet
Stimmt dein berechneter Hashwert nicht mit dem angegebenen überein, ist die Datei nicht identisch mit der Originaldatei. Der Grund dafür liegt meist bei einem einfachen Übertragungsfehler – etwa einem abgebrochenen oder unvollständigen Download – oder daran, dass die Datei nach der Bereitstellung verändert wurde, zum Beispiel durch eine fehlerhafte Kopie oder einen fehlerhaften Spiegel-Server. Die richtige Reaktion ist in beiden Fällen dieselbe: Datei erneut von einer vertrauenswürdigen Quelle herunterladen und den Hash neu vergleichen.
Was eine Prüfsumme nicht ersetzt
Eine Prüfsumme zeigt nur, ob zwei Datenmengen identisch sind – nicht, von wem sie stammen. Sie ist kein Ersatz für eine digitale Signatur: Eine Signatur bestätigt zusätzlich, dass eine Datei tatsächlich vom angegebenen Herausgeber stammt und mit dessen privatem Schlüssel bestätigt wurde. Wer eine veränderte Datei zusammen mit einer passend neu berechneten Prüfsumme veröffentlicht, hat mit dem reinen Hash-Vergleich formal nichts falsch gemacht – ein Hash prüft ausschließlich Unversehrtheit, keine Herkunft oder Echtheit. Einen Nachweis über Herkunft und Authentizität liefert nur die Signatur des Herausgebers, nicht die Prüfsumme allein.
Weiterrechnen
Einen Hashwert berechnest du mit dem Hash-Rechner. Was ein Hash und eine Prüfsumme genau sind, erklärt der Glossareintrag Hash.