BCrypt-Hash
bcrypt-Passwort-Hashes erzeugen und prüfen
Eingabe
Bcrypt-Hash
Über dieses Tool
Fast jeder Hashing-Algorithmus ist darauf designed, schnell zu sein. BCrypt ist bewusst langsam, und diese Umkehrung ist der ganze Punkt. Wenn eine Angreiferin oder ein Angreifer eine Passwort-Datenbank stiehlt, ist der Angriff offline und unbegrenzt – sie können Milliarden Versuche pro Sekunde gegen einen schnellen Hash wie SHA-256 fahren. Jeden Hash eine messbare Sekundenbruchteil dauern zu lassen, reduziert das auf Tausende, was aus ein paar Stunden Cracking Jahre macht. Der Cost-Faktor steuert, wie langsam: Jede Erhöhung verdoppelt die Arbeit, 12 ist also grob viermal langsamer als 10. BCrypt saltet außerdem automatisch, deshalb erzeugt dasselbe Passwort zweimal zu hashen zwei unterschiedliche Ausgaben – und deshalb sind vorausberechnete Rainbow Tables dagegen nutzlos. Die Verify-Funktion ist, was einen Login prüft, weil sie den Salt aus dem gespeicherten Hash extrahiert und neu berechnet. Beachte: Dieses Tool verarbeitet auf dem Server, nutze also Testpasswörter statt echter Credentials.
So verwendest du dieses Tool
- Gib ein Passwort zum Hashen einNutze einen Testwert. Das läuft serverseitig, echte Credentials sollten hier also nicht eingefügt werden.
- Wähle einen Cost-Faktor12 ist der aktuell sinnvolle Default. Jede Erhöhung verdoppelt die Rechenzeit.
- Hash erzeugenDer Salt ist im Ausgabe-String enthalten, deshalb ist keine separate Salt-Spalte nötig.
- Nutze Verify, um einen Match zu prüfenVerifikation extrahiert den Salt aus dem Hash und berechnet neu – du vergleichst Hashes nie direkt.
Warum es nutzen
- Bewusst langsam, genau das macht Offline-Cracking unpraktisch.
- Salting ist automatisch und im Hash gespeichert, das nimmt eine ganze Klasse Implementierungsfehler weg.
- Einstellbarer Cost-Faktor, damit der Hash mit schnellerer Hardware gestärkt werden kann.
- Verify-Modus inklusive, um zu testen, dass ein Passwort zu einem bestehenden Hash matcht.
- Kein Konto und kein Limit.
Häufige Anwendungen
- Verstehen, wie BCrypt-Hashes strukturiert sind, während du Authentifizierung implementierst.
- Einen Test-Hash für einen Entwicklungs-Datenbank-Seed erzeugen.
- Verifizieren, dass deine Anwendung den Hash erzeugt, den du erwartest.
- Cost-Faktoren vergleichen, um einen für Produktion zu wählen.
- Lernen, warum Passwort-Hashing sich von Allzweck-Hashing unterscheidet.
Tipps für bessere Ergebnisse
- Nutze einen Cost-Faktor von 12 oder höher für neue Systeme. Kalibriere über die Zeit neu – was 2015 langsam genug war, ist es 2026 nicht.
- Speichere nie einen separaten Salt. BCrypt bettet ihn in den Hash-String, und eine handgerollte Salt-Spalte signalisiert meist ein Missverständnis.
- Vergleiche immer mit der Verify-Funktion, nie mit String-Gleichheit auf zwei Hashes – die Salts unterscheiden sich, Gleichheit ist also immer falsch.
- BCrypt kürzt Eingabe über 72 Bytes. Das zählt für sehr lange Passphrasen, ein Grund, warum Argon2 oft bevorzugt wird.
- Für neue Systeme ist Argon2id die aktuelle Empfehlung. BCrypt bleibt eine völlig vernünftige Wahl und ist weit besser als ein schneller Hash.
Fehler, die du vermeiden solltest
- MD5 oder SHA-256 für Passwörter nutzen. Sie sind bewusst schnell, genau die falsche Eigenschaft hier.
- Zwei BCrypt-Hashes direkt vergleichen und schließen, das Passwort sei falsch – unterschiedliche Salts garantieren unterschiedliche Hashes.
- Einen niedrigen Cost-Faktor wählen, damit Logins flott bleiben, was Angreifenden einen viel günstigeren Offline-Angriff in die Hand gibt.
- Eine eigene Salt-Spalte hinzufügen, was nahelegt, dass der eingebettete Salt nicht verstanden wurde.
- Produktionspasswörter in irgendein Online-Tool einfügen, inklusive diesem – es verarbeitet serverseitig.
Häufig gestellte Fragen
BCrypt ist bewusst langsam und enthält einen eingebauten Salt, das macht ihn weit resistenter gegen Brute-Force- und Rainbow-Table-Angriffe als schnelle Allzweck-Hashes wie MD5/SHA-256, die nie für Passwortspeicherung designed waren.
Nein – BCrypt enthält jedes Mal einen zufälligen Salt, dasselbe Passwort erzeugt also jedes Mal eine andere Hash-Ausgabe. Das ist Absicht und macht es resistent gegen vorausberechnete Rainbow-Table-Angriffe.
Nein – nutze Testwerte. BCrypt-Hashing ist bewusst rechenintensiv und läuft hier auf dem Server, das Passwort, das du tippst, wird also übertragen. Es wird nicht gespeichert, aber echte Produktions-Credentials sollten unabhängig davon nie in irgendein Drittanbieter-Tool eingefügt werden.
12 oder höher für neue Systeme. Jede Erhöhung verdoppelt die Arbeit, die richtige Zahl ist also, was Login-Zeiten auf deiner Hardware akzeptabel hält, während Offline-Cracking teuer bleibt – und sie sollte über die Jahre steigen, wenn Hardware besser wird.
Weil BCrypt jedes Mal einen zufälligen Salt erzeugt und ihn in die Ausgabe einbettet. Das ist Absicht – es schlägt Rainbow Tables. Prüfe ein Passwort immer mit der Verify-Funktion, die den Salt aus dem gespeicherten Hash zurückliest.
Argon2id ist die aktuelle Empfehlung für neue Systeme, vor allem weil es GPU- und Custom-Hardware-Angriffe besser abwehrt und kein Eingabelängenlimit hat. BCrypt bleibt eine solide, weit unterstützte Wahl und ist enorm besser als jeder schnelle Hash.
Ja. Bcrypt ist für die normale Nutzung kostenlos, ohne Konto, und ToolBox setzt kein Wasserzeichen auf dein Ergebnis.
Die meisten Tools in dieser Kategorie laufen in deinem Browser, sodass die Datei auf deinem Gerät bleibt. Wenn ein Tool einen temporären Server-Auftrag braucht, werden Dateien nur für diesen Auftrag verarbeitet und nicht als dauerhaftes Archiv gespeichert.
Andere suchen auch nach
- bcrypt hash generator kostenlos
- bcrypt gegen argon2
- passwort hashing best practice
- bcrypt cost faktor
- bcrypt hash online verifizieren
- warum nicht md5 für passwörter
- bcrypt salt erklärt