Prüfsumme prüfen: SHA-256 und Get-FileHash unter Windows 11

Windows-ISO, Treiber, Firmware oder ein Installationsprogramm: Bei vielen Downloads nennt der Anbieter eine Prüfsumme. Sie entscheidet darüber, ob die Datei vollständig ankam und nicht manipuliert wurde. Dieser Ratgeber zeigt, was eine Prüfsumme ist, wie du sie unter Windows 11 berechnest und was das Ergebnis bedeutet.

Was eine Prüfsumme ist

Eine Prüfsumme, auch Hashwert genannt, ist ein kurzer Wert, der aus dem gesamten Dateiinhalt berechnet wird. Ändert sich nur ein einziges Bit, ergibt sich ein völlig anderer Wert. Der Anbieter veröffentlicht den Wert der Originaldatei. Du berechnest ihn für deine heruntergeladene Kopie und vergleichst beide. Stimmen sie überein, ist die Datei identisch.

Das schützt vor zwei Problemen: Übertragungsfehlern, bei denen der Download abgebrochen oder beschädigt wurde, und vor Veränderungen durch Dritte, etwa wenn eine Datei auf einem Spiegelserver ausgetauscht wurde. Eine Prüfsumme ist kein Virenscan, sie beweist nur die Gleichheit mit dem Original.

Die gängigen Verfahren

Verwende, wenn möglich, SHA-256. Bietet ein Anbieter nur MD5 an, genügt das zum Erkennen kaputter Downloads, nicht aber als Schutz vor Manipulation.

Prüfsumme in PowerShell berechnen

1. Öffne das Startmenü, tippe „PowerShell“ und starte es.
2. Gib ein: Get-FileHash "C:\Pfad\zur\Datei.iso" -Algorithm SHA256
3. Bestätige mit Enter. Die Ausgabe zeigt Algorithmus, Hash und Pfad.
4. Vergleiche den Wert mit dem Wert auf der Webseite des Herstellers.

Ohne Angabe des Algorithmus verwendet Get-FileHash SHA-256. Für andere Verfahren ersetzt du SHA256 durch SHA1, SHA384, SHA512 oder MD5. Den Pfad kopierst du am einfachsten, indem du die Datei im Explorer mit gedrückter Umschalttaste rechts anklickst und „Als Pfad kopieren“ wählst. Ziehst du die Datei alternativ mit der Maus in das PowerShell-Fenster, wird der Pfad eingefügt.

Alternative: certutil in der Eingabeaufforderung

Auch die Eingabeaufforderung kann Hashes berechnen. Gib certutil -hashfile "C:\Pfad\Datei.iso" SHA256 ein. Die Ausgabe enthält den Hash in Kleinbuchstaben, teils mit Leerzeichen. Beim Vergleich zählt nur die Zeichenfolge, Groß- und Kleinschreibung ist unerheblich. Der Befehl funktioniert auf jedem Windows ohne zusätzliche Software.

Vergleich ohne Fehler

Das Vergleichen langer Zeichenketten mit dem Auge ist fehleranfällig. Besser:

• Kopiere beide Hashes in ein Textfeld, etwa den Editor, untereinander, und gleiche sie Stelle für Stelle ab.
• Nutze in PowerShell den Vergleich: (Get-FileHash Datei -Algorithm SHA256).Hash -eq "HASHWERT". Ergebnis True bedeutet Gleichheit.
• Achte auf versteckte Leerzeichen am Anfang oder Ende beim Einfügen.
• Prüfe, ob der veröffentlichte Hash zum richtigen Algorithmus gehört. Ein SHA-1-Wert lässt sich nicht mit einem SHA-256-Wert vergleichen.

Wo findest du den Original-Hash?

Seriöse Anbieter nennen den Wert auf der Download-Seite, in einer begleitenden Textdatei mit Endung .sha256 oder in den Release-Hinweisen. Wichtig ist, dass der Hash aus einer anderen, vertrauenswürdigen Quelle stammt als die Datei selbst. Liegen Datei und Hash auf demselben kompromittierten Server, beweist die Gleichheit wenig. Bei Windows-Installationsmedien stellt Microsoft Prüfwerte zum Download bereit. Wie du daraus ein Installationsmedium baust, steht im Beitrag Windows 11 per USB-Stick installieren.

Was tun, wenn die Werte nicht übereinstimmen?

1. Lade die Datei erneut herunter, am besten über eine stabile Verbindung und ohne Download-Beschleuniger.
2. Prüfe, ob du die richtige Datei und die richtige Version verglichen hast.
3. Berechne den Hash erneut und achte auf den Algorithmus.
4. Wiederholt sich die Abweichung, verwende eine andere Quelle oder einen anderen Spiegelserver.
5. Führe die Datei nicht aus, bis die Werte stimmen.

Ein Unterschied bedeutet nicht automatisch einen Angriff. Meist ist ein Download unvollständig. Dennoch gilt: Datei nicht öffnen oder installieren, bis sie geprüft ist.

Digitale Signatur: Die zweite Ebene der Prüfung

Unter Windows kannst du bei ausführbaren Dateien zusätzlich die digitale Signatur ansehen. Klicke die Datei mit der rechten Maustaste an, wähle „Eigenschaften“ und die Registerkarte „Digitale Signaturen“. Ist sie vorhanden, siehst du den Herausgeber und kannst prüfen, ob die Signatur gültig ist. Fehlt sie, ist das kein Beweis für Schadsoftware, aber ein Grund, vorsichtiger zu sein. Was ein Virenscanner zusätzlich leistet, beschreibt der Beitrag Antivirus unter Windows 11.

Typische Einsatzfälle

• Windows- oder Linux-ISO vor dem Erstellen eines Installationsmediums.
• Firmware- und BIOS-Dateien, bei denen ein Fehler teuer wird.
• Treiberpakete von Herstellerseiten und Spiegelservern.
• Große Backups oder Archive, die du auf einen anderen Datenträger kopiert hast.
• Programme aus Quellen, die keine Store-Prüfung durchlaufen.

Beim Kopieren großer Datenmengen, etwa beim Umzug auf eine neue SSD, kannst du mit Hashes prüfen, ob Dateien identisch angekommen sind. Wie der Umzug abläuft, zeigt Windows auf neue SSD umziehen.

Prüfsummen für eigene Dateien nutzen

Der Nutzen endet nicht bei fremden Downloads. Wer eigene Dateien sichert, kann direkt nach dem Kopieren Hashes von Original und Kopie vergleichen. Das ist besonders bei großen Archiven, Fotosammlungen und Projektdaten sinnvoll, die über Monate auf einem Datenträger liegen. Veränderte Hashes weisen später auf schleichende Datenfehler hin, noch bevor eine Datei sich nicht mehr öffnen lässt.

Lege dazu eine Textliste mit Dateinamen und Hashes an, die du zusammen mit der Sicherung aufbewahrst. Mit einer kurzen PowerShell-Schleife über Get-ChildItem und Get-FileHash erzeugst du eine solche Liste für einen ganzen Ordner. Wiederhole die Prüfung in größeren Abständen, etwa einmal im Jahr. So erkennst du Fehler, solange das zweite Exemplar noch intakt ist.

Beachte, dass Hashes nur Änderungen sichtbar machen, nicht reparieren. Sie ergänzen eine Datensicherung, ersetzen sie aber nicht.

Häufige Fragen

Reicht MD5, wenn nichts anderes angegeben ist?

Zum Erkennen defekter Downloads ja. Gegen absichtliche Fälschungen bietet MD5 keinen Schutz mehr.

Kann ich Prüfsummen auch für Ordner bilden?

Get-FileHash arbeitet pro Datei. Für Ordner nutzt du eine Schleife in PowerShell oder packst den Ordner vorher in ein Archiv.

Gibt es eine grafische Oberfläche?

Ja, zahlreiche Programme bieten Hash-Prüfung per Rechtsklick. Die Bordmittel reichen aber völlig aus.

Ändert sich der Hash, wenn ich die Datei umbenenne?

Nein. Der Wert hängt nur vom Inhalt ab, nicht vom Namen oder Speicherort.