Hashing (SHA-256, bcrypt): Definition, Funktionsweise und Einsatz bei Passwörtern

Weshalb Hashing die Grundlage sicherer Passwortspeicherung bildet

Im Folgenden erfahren Sie, wie Hashing-Verfahren wie SHA-256 und bcrypt technisch funktionieren. Zudem erklären wir, warum nicht jeder Hash-Algorithmus für die Passwortspeicherung geeignet ist.

Was ist Hashing (z.B. SHA-256, bcrypt)?

Hashing wandelt Daten beliebiger Länge in einen Wert fester Länge um – den Hash. Der Vorgang ist nicht umkehrbar. In der IT-Sicherheit wird Hashing vor allem zur sicheren Speicherung von Passwörtern verwendet: Statt des Klartexts wird nur der Hash-Wert gespeichert.

Funktionsweise von Hashing (z.B. SHA-256, bcrypt)

Grundprinzip: Einwegfunktion und feste Ausgabelänge

Eine Hash-Funktion nimmt eine beliebige Eingabe entgegen und erzeugt daraus einen Ausgabewert fester Länge, den Hash. Bereits eine minimale Änderung der Eingabe führt zu einem vollständig anderen Hash-Wert. Der Vorgang funktioniert nur in eine Richtung: Aus dem Hash lässt sich die ursprüngliche Eingabe nicht direkt zurückrechnen.

Kryptografische Hash-Funktionen: Beispiel SHA-256

SHA-256 ist eine weitverbreitete kryptografische Hash-Funktion, die unter anderem zur Integritätsprüfung von Dateien oder als Baustein in digitalen Signaturen eingesetzt wird. SHA-256 ist bewusst auf hohe Geschwindigkeit ausgelegt – ein Vorteil bei der Integritätsprüfung großer Datenmengen, aber ein entscheidender Nachteil bei der Passwortspeicherung.

Warum SHA-256 allein für Passwörter ungeeignet ist

Genau diese Geschwindigkeit macht reines SHA-256 für Passwort-Hashes ungeeignet: Angreifer können mit moderner Hardware Milliarden von Hash-Berechnungen pro Sekunde durchführen und so per Brute-Force viele Passwörter in kurzer Zeit erraten. Für die Passwortspeicherung braucht es deshalb absichtlich langsame Verfahren wie bcrypt, scrypt oder Argon2, die zusätzlich einen sogenannten Salt einbeziehen – einen zufälligen Wert, der verhindert, dass identische Passwörter auch identische Hash-Werte erzeugen.

Einordnung und Praxis von Hashing (z.B. SHA-256, bcrypt)

Passwort-Hashing-Verfahren im Vergleich: bcrypt, Salting

bcrypt etwa erlaubt es, den Rechenaufwand über einen Kostenfaktor gezielt zu erhöhen, sodass sich die Sicherheit mit wachsender Rechenleistung von Angreifern über die Jahre nachjustieren lässt, ohne den Algorithmus selbst wechseln zu müssen.

Abgrenzung: Hashing vs. Verschlüsselung

Wichtig ist die Abgrenzung zur Verschlüsselung: Verschlüsselte Daten lassen sich mit dem passenden Schlüssel wieder in ihre ursprüngliche Form zurückführen, ein Hash-Wert dagegen grundsätzlich nicht. Für Passwörter ist genau das gewünscht – der Server muss das Passwort niemals im Klartext kennen, um es zu überprüfen.

Praxisrelevanz: Datenlecks und die Bedeutung korrekter Passwortspeicherung

Datenlecks der letzten Jahre haben wiederholt gezeigt, welchen Unterschied korrektes Passwort-Hashing macht: Während unsachgemäß gespeicherte Klartext- oder schwach gehashte Passwörter nach einem Leck massenhaft missbraucht wurden, blieben mit bcrypt oder vergleichbaren Verfahren gesicherte Passwörter für Angreifer praktisch wertlos.

Anbieter von Identity-Lösungen können sich über nachweisbar sichere Hashing-Verfahren wie bcrypt oder Argon2 klar von Wettbewerbern abheben, sofern dieser Unterschied auch verständlich vermittelt wird. summ-it übersetzt solche technischen Sicherheitsvorteile in überzeugende, nachvollziehbare Marketingaussagen.

Sichere Passwortspeicherung als Differenzierungsmerkmal – mit summ-it kommuniziert

Anbieter von Identity- und Access-Management-Lösungen können sich über nachweisbar sichere Passwortverfahren wie bcrypt oder Argon2 klar von Wettbewerbern abheben – vorausgesetzt, dieser Unterschied wird auch verständlich kommuniziert.

summ-it hilft dabei, technische Sicherheitsvorteile in überzeugende, differenzierende Marketingaussagen zu übersetzen, die bei sicherheitsbewussten Einkäufern den Ausschlag geben.

Kostenloses Erstgespräch vereinbaren

FAQ: Hashing (z.B. SHA-256, bcrypt)

Warum ist SHA-256 für Passwörter nicht ausreichend?

SHA-256 ist absichtlich sehr schnell berechenbar, was für Integritätsprüfungen ein Vorteil ist, bei Passwörtern aber ein Sicherheitsrisiko darstellt. Angreifer können mit dieser Geschwindigkeit sehr viele Passwörter in kurzer Zeit durchprobieren, weshalb speziell für Passwörter entwickelte, absichtlich langsame Verfahren wie bcrypt notwendig sind.

Ein Salt ist ein zufälliger Wert, der vor dem Hashing zum Passwort hinzugefügt wird. Dadurch erzeugen

Ein Salt ist ein zufälliger Wert, der vor dem Hashing zum Passwort hinzugefügt wird. Dadurch erzeugen identische Passwörter unterschiedliche Hash-Werte, was vorberechnete Angriffstabellen (Rainbow Tables) wirkungslos macht.

Was ist Argon2 und wie unterscheidet es sich von bcrypt?

Argon2 ist ein moderneres Passwort-Hashing-Verfahren, das gezielt sowohl Rechenzeit als auch Arbeitsspeicherbedarf erhöht, um Angriffe mit spezialisierter Hardware zu erschweren. Bcrypt fokussiert primär auf erhöhten Rechenaufwand.

Kann ein Hash-Wert eindeutig einer Eingabe zugeordnet werden?

Bei guten kryptografischen Hash-Funktionen ist die Wahrscheinlichkeit, dass zwei unterschiedliche Eingaben denselben Hash erzeugen, verschwindend gering. Man spricht hierbei von Kollisionsresistenz als zentraler Sicherheitseigenschaft.

Was ist eine Rainbow Table?

Eine Rainbow Table ist eine vorberechnete Tabelle häufiger Passwörter und ihrer zugehörigen Hash-Werte, mit der Angreifer schnell auf mögliche Klartextpasswörter schließen können. Durch individuelles Salting wird dieser Angriff wirkungslos.

Wofür wird Hashing außerhalb der Passwortspeicherung eingesetzt?

Hashing wird auch zur Integritätsprüfung von Dateien, als Bestandteil digitaler Signaturen und zur eindeutigen Kennzeichnung von Datensätzen in Datenbanken eingesetzt.

Autor: Jochen Maier

Jochen Maier, Geschäftsführer

Jochen Maier ist Gründer & Geschäftsführer von summ-it und einer der wenigen Agentur-Inhaber, der selbst jahrelang auf Kundenseite erfolgreich war. Als ehemaliger CMO eines internationalen Softwareunternehmens weiß er aus eigener Erfahrung, wie frustrierend es sein kann, wenn Agenturen große Versprechen machen, aber nicht liefern. Mit seinem ausgeprägten Informatik-Hintergrund versteht er die fachlichen und technischen Herausforderungen seiner Kunden aus dem IT- und Software-Umfeld.

Sein Motto: „Wir können nicht alles, aber was wir machen, machen wir richtig gut.“ Diese Klarheit ist ihm wichtiger als jeder Marketing-Sprech – denn am Ende zählt nur, was wirklich funktioniert.