Bcrypt-Hash-Generator & -Verifizierer

Nein — bcryptjs ist nicht installiert, daher greift das Tool auf PBKDF2-SHA256 über Web Crypto zurück. Es handelt sich um eine adaptive, gesalzene KDF mit konfigurierbarem Kostenfaktor, ideal zum Testen und Lernen.

Die Runden sind der Kostenfaktor; sie werden über 2^Runden x 1000 in PBKDF2-Iterationen umgesetzt. Jede Runde verdoppelt den Aufwand und hält die Hashes stark, während sich die Hardware weiterentwickelt.

Nein. Hashe Passwörter niemals clientseitig für echte Authentifizierung. Hashe sie auf dem Server mit einer geprüften Bibliothek (bcrypt, argon2id, scrypt) hinter einer Ratenbegrenzung.

Ja, der Bcrypt Hash Generator & Verifier ist zu 100% kostenlos, ohne Registrierung, ohne versteckte Gebühren und ohne Nutzungsbeschränkungen. Die gesamte Verarbeitung erfolgt lokal in deinem Browser und gewährleistet vollständige Privatsphäre.

Absolut. Der Bcrypt Hash Generator & Verifier verarbeitet alles clientseitig in deinem Browser. Es werden keine Daten auf einen Server hochgeladen oder dort gespeichert. Deine Inhalte bleiben jederzeit privat auf deinem Gerät.

Ja, der Bcrypt Hash Generator & Verifier ist vollständig responsiv und funktioniert auf Smartphones und Tablets. Du kannst ihn auf jedem Gerät mit einem modernen Webbrowser nutzen – ohne App-Download.

Es ist kein Konto und keine Registrierung erforderlich. Öffne einfach den Bcrypt Hash Generator & Verifier in deinem Browser und beginne sofort mit der Nutzung. Es gibt keine Anmeldeschranken oder Nutzungsbeschränkungen.

Gib einfach deine Eingabe in das vorgesehene Feld ein, passe die Einstellungen nach Wunsch an, und das Tool verarbeitet sie sofort. Anschließend kannst du das Ergebnis in die Zwischenablage kopieren oder herunterladen.

Der Bcrypt Hash Generator & Verifier funktioniert in allen modernen Browsern, einschließlich Chrome, Firefox, Safari, Edge und Opera. Für das beste Erlebnis verwende die neueste Version deines bevorzugten Browsers.

Bcrypt und PBKDF2 sind beides adaptive, gesalzene Passwort-Hashfunktionen, aber sie sind unterschiedlich aufgebaut. Bcrypt basiert auf der Blowfish-Chiffre, und sein Kostenfaktor steuert, wie viele Key-Setup-Runden durchlaufen werden, wodurch auch ein fester Speicherbedarf entsteht. PBKDF2 wiederholt einfach eine zugrunde liegende Hashfunktion wie HMAC-SHA256 sehr oft, sodass sich die Kosten über eine Iterationszahl statt über eine logarithmische Rundenzahl ergeben. Beide teilen die für die Passwortspeicherung entscheidenden Eigenschaften: ein einzigartiges Salt, einen einstellbaren Arbeitsfaktor und bewusste Langsamkeit. PBKDF2 ist FIPS-zugelassen und fest in die Web Crypto API des Browsers integriert — genau deshalb nutzt dieses Tool es als Ersatz. Erzeuge oben einen Hash und beobachte, wie jede Stufe des Rounds-Reglers die Arbeit verdoppelt, genau wie der Kostenfaktor von Bcrypt.

Bei jeder Hash-Erzeugung erstellt das Tool ein frisches, zufälliges 16-Byte-Salt mit crypto.getRandomValues des Browsers und mischt dieses Salt in die Ableitung ein. Da das Salt bei jedem Durchlauf anders ist, erzeugen zwei identische Passwörter zwei völlig unterschiedliche Ausgabestrings. Das ist beabsichtigt und eine der wichtigsten Eigenschaften sicherer Passwortspeicherung: Ein Angreifer kann so nicht erkennen, dass zwei Nutzer dasselbe Passwort gewählt haben, und vorberechnete Rainbow-Tables werden nutzlos, da sie für jedes einzigartige Salt neu erstellt werden müssten. Das Salt ist kein Geheimnis und wird deshalb direkt im Hash-String im Salt-Segment gespeichert, damit die Verifikation später denselben Wert wiederverwenden kann. Generiere oben zweimal dasselbe Passwort, um zwei unterschiedliche Hashes zu sehen, die beide trotzdem korrekt verifizieren.

Die Verifikation benötigt das ursprüngliche Passwort nie aus einer Datei; sie braucht nur den gespeicherten Hash. Wenn du im Tab Verifizieren ein Passwort und einen vorhandenen Hash einfügst, liest das Tool Kostenfaktor und Salt direkt aus dem Hash-String, da beide darin kodiert sind. Anschließend führt es dieselbe Ableitung erneut mit dem eingegebenen Passwort durch und vergleicht das frisch berechnete Ergebnis mit dem gespeicherten. Stimmen sie überein, ist das Passwort korrekt. Der Vergleich nutzt eine konstantzeitige Prüfung, die stets jedes Byte untersucht, sodass ein Angreifer nichts daraus lernen kann, wie schnell eine falsche Vermutung abgelehnt wird. Das ist derselbe Ablauf wie bei einem echten Login-System: Hashes werden gespeichert, Klartext-Passwörter nicht. Probiere es aus, indem du einen Hash generierst und ihn dann zur Bestätigung wieder in den Tab Verifizieren einfügst.

Der Kostenfaktor bestimmt, wie viel Arbeit jeder Hash erfordert, und der richtige Wert ist ein Ausgleich zwischen Sicherheit und Login-Geschwindigkeit. Hier reicht der Rounds-Regler von 4 bis 14 und wird auf PBKDF2-Iterationen als 2 hoch Rounds mal 1000 abgebildet, sodass jede zusätzliche Runde den Aufwand verdoppelt. Round 10 ist mit rund einer Million Iterationen ein sinnvoller Standardwert; niedrigere Werte wie 4 eignen sich für schnelle Demos, während 14 bewusst schwergewichtig ist. Eine gängige Faustregel lautet, den höchsten Kostenfaktor zu wählen, den dein Server verkraften kann, während ein einzelner legitimer Login unter etwa 100 Millisekunden bleibt — denn langsame Logins frustrieren Nutzer, während schnelle Hashes Angreifern in die Hände spielen. Da die Funktion adaptiv ist, kannst du die Kosten später erhöhen, sobald die Hardware leistungsfähiger wird. Bewege oben den Regler und beobachte die Timing-Anzeige, um diesen Kompromiss zu spüren.

MD5 und SHA-256 sind schnelle, universelle Hashfunktionen, und genau diese Geschwindigkeit ist bei Passwörtern das Problem. Eine moderne GPU kann Milliarden von einfachen MD5- oder SHA-256-Hashes pro Sekunde berechnen, sodass ein Angreifer bei einem Datenleck riesige Wortlisten fast augenblicklich gegen gestohlene Hashes testen kann. Zudem besitzen sie kein eingebautes Salt, wodurch identische Passwörter identische Hashes ergeben und vorberechnete Rainbow-Tables sie in Sekundenschnelle knacken. Adaptive Funktionen wie Bcrypt, Scrypt, Argon2 und das hier verwendete PBKDF2 drehen diese Rechnung um: Sie fügen ein einzigartiges Salt und einen einstellbaren Kostenfaktor hinzu, der jeden Rateversuch bewusst teuer macht, sodass ein einzelner Login schnell bleibt, Massen-Cracking aber unpraktikabel wird. Mit diesem Tool kannst du direkt mit diesem Kostenfaktor experimentieren und sehen, wie langsames, gesalzenes Hashing die Wirtschaftlichkeit eines Angriffs verändert.