Ein Hashwert ist eine kurze Zeichenfolge fester Länge, die mit einer Hashfunktion aus beliebig großen Daten berechnet wird. Schon eine einzige geänderte Stelle ergibt einen völlig anderen Wert. In der IT-Forensik belegt er, dass Daten seit ihrer Sicherung unverändert sind.
- Auch
- Prüfsumme, Hash, digitaler Fingerabdruck, MD5, SHA-1, SHA-256
- Rechtsgrundlage
- keine eigene, Bedeutung für die Beweiswürdigung nach § 261 StPO
- Themenbereich
- Ermittlungsmaßnahmen und IT-Forensik
Technischer Hintergrund
Eine Hashfunktion rechnet aus einer Datei oder einem ganzen Datenträger eine Zeichenfolge, bei SHA-256 zum Beispiel 64 Zeichen. Der Weg funktioniert nur in eine Richtung. Aus dem Hashwert lassen sich die Daten nicht zurückgewinnen.
Eindeutig ist der Wert nicht im mathematischen Sinn. Da unendlich viele mögliche Daten auf eine begrenzte Zahl von Hashwerten treffen, gibt es zwangsläufig verschiedene Daten mit gleichem Wert, sogenannte Kollisionen. Bei guten Verfahren ist es praktisch ausgeschlossen, eine solche Kollision gezielt herzustellen. Bei MD5 und SHA-1 ist das nicht mehr so. Für beide sind gezielt erzeugte Kollisionen öffentlich vorgeführt worden. Als Nachweis der Unverändertheit gilt heute SHA-256 oder ein vergleichbares Verfahren, oft werden zur Sicherheit zwei Verfahren nebeneinander verwendet.
Ein zweites Einsatzfeld ist der Abgleich mit Datenbanken bekannter Dateien. Dabei wird der Hashwert jeder Datei auf einem sichergestellten Datenträger mit Listen bekannter Inhalte verglichen, etwa um strafbare Bilddateien automatisiert zu finden.
Wo es im Verfahren auftaucht
Im Sicherungsprotokoll der IT-Forensik, im Auswertungsbericht und bei Dateifunden, die über einen Datenbankabgleich gemacht wurden. In Verfahren wegen Bilddateien stützt sich die Anklage häufig auf Treffer eines solchen Abgleichs.
Rechtlicher Rahmen
Das Gesetz regelt Hashwerte nicht. Ihre Bedeutung liegt in der Beweiswürdigung. Ein korrekt gebildeter und dokumentierter Hashwert macht die Unverändertheit eines Datenbestands nachweisbar. Fehlt er, muss das Gericht nach § 261 StPO würdigen, ob es trotzdem überzeugt ist, dass die ausgewerteten Daten die sichergestellten sind.
Ansatzpunkte der Verteidigung
Drei Fragen. Wurde überhaupt ein Hashwert gebildet, und zwar beim Sichern und nicht erst Wochen später? Welches Verfahren wurde verwendet, und steht allein MD5 im Protokoll? Wurde der Wert bei der Auswertung erneut berechnet und verglichen?
Bei Datenbanktreffern kommt eine vierte Frage hinzu. Ein Treffer zeigt, dass eine Datei mit einer bekannten Datei identisch ist. Er zeigt nicht, wer sie gespeichert hat, wann und ob der Nutzer sie überhaupt kannte. Das ist eine Frage der Zuordnung, nicht des Hashwerts.
Fallbeispiele
Der späte Hashwert
Das Protokoll weist einen Hashwert aus, der erst bei Beginn der Auswertung drei Monate nach der Sicherstellung gebildet wurde. Er belegt dann nur, dass sich die Daten seit Beginn der Auswertung nicht verändert haben. Über die drei Monate davor sagt er nichts.
Häufige Fragen
Eine Hashfunktion berechnet aus beliebigen Daten eine Zeichenfolge fester Länge. Jede Änderung an den Daten führt zu einem völlig anderen Wert. Vergleicht man den Hashwert zu zwei Zeitpunkten, sieht man, ob sich die Daten in der Zwischenzeit verändert haben.
Verbreitet sind MD5, SHA-1 und die Verfahren der SHA-2-Familie wie SHA-256. MD5 und SHA-1 gelten als geschwächt, weil sich bei ihnen gezielt Kollisionen erzeugen lassen. Für forensische Sicherungen wird heute SHA-256 oder ein vergleichbares Verfahren verwendet.
Die Länge hängt vom Verfahren ab und ist unabhängig von der Datenmenge immer gleich. Ein MD5-Wert hat 32 Hexadezimalzeichen, ein SHA-1-Wert 40 und ein SHA-256-Wert 64.
Verwandte Begriffe
Forensisches Image · Chain of Custody · Metadaten
Stand September 2026. Allgemeine Information zur Rechtslage, keine Rechtsberatung im Einzelfall. Normen geprüft am Gesetzestext auf gesetze-im-internet.de.