So prüfst du, ob ein Download manipuliert wurde (SHA-256)
Du lädst einen Installer, ein Betriebssystem-Abbild oder ein Firmware-Update herunter. Woher weißt du, dass es genau die Datei des Herstellers ist – nicht beschädigt und nicht verändert?
Das echte Risiko
- Nachgemachte Seiten und Anzeigen: Bei der Suche nach beliebter Gratissoftware führen gesponserte Treffer manchmal zu umgepackten Installern mit Adware oder Malware.
- Gehackte Server: 2016 wurde die Website einer bekannten Linux-Distribution kompromittiert; ein Teil des Tages verwies der Downloadlink auf ein ISO mit Hintertür. Wer die Prüfsumme mit der offiziellen verglich, konnte es erkennen.
- Beschädigte Downloads: Ein abgebrochener Download kann ein Firmware-Update scheitern lassen und ein Gerät lahmlegen.
Was eine Prüfsumme ist
Ein Hash ist ein Fingerabdruck, berechnet aus jedem Byte. Ändert sich ein Byte, ändert sich der ganze Wert. Hersteller veröffentlichen den SHA-256-Wert neben dem Download, oft in einer Datei SHA256SUMS.
In drei Schritten prüfen
- Wert auf der offiziellen Herstellerseite suchen – nicht auf der Seite, die den Download angeboten hat.
- Datei im Download-Prüfer ablegen und den Wert einfügen.
- Grün: identisch. Rot: Datei löschen und von der offiziellen Quelle neu laden.
Die Datei wird stückweise im Browser gelesen – auch Abbilder mit mehreren Gigabyte verlassen deinen Rechner nicht.
Welcher Algorithmus?
SHA-256 oder SHA-512. MD5 und SHA-1 erkennen Übertragungsfehler, aber es lassen sich zwei verschiedene Dateien mit gleichem MD5- oder SHA-1-Wert erzeugen – sie beweisen also keine Unverfälschtheit.
Grenzen
Kontrolliert ein Angreifer die offizielle Seite, kann er auch die Prüfsumme ändern. Deshalb signieren manche Projekte ihre Dateien zusätzlich. Für alltägliche Downloads deckt der Hash-Vergleich aber die meisten Probleme auf.