Passwort-Hash-Generator und -Verifier
(Argon2id, bcrypt, scrypt, PBKDF2 – OWASP-Standardwerte 2026)
Clientseitiges Tool zum Erzeugen und Prüfen von Passwort-Hashes mit realistischen, aktuellen Parametern. Hilfreich beim Debuggen von Integrationen und um zu verstehen, wie Salt, Speicher und Iterationen die Kosten beeinflussen. Die Standardwerte folgen der OWASP-Baseline 2026 (Argon2id m = 19 MiB, t = 2, p = 1) und den PBKDF2-Mindestwerten aus NIST SP 800-63B. Läuft lokal, kein Passwort verlässt Ihren Browser.
Sie bauen Authentifizierung in Ihre App ein?
Jetzt loslegen →
Unterstützen Sie uns mit einem Stern auf
Die Sicherheit Ihrer Daten hat für uns höchste Priorität. Hashing und Verifizierung erfolgen in diesem Browser. Dieses Tool speichert oder sendet weder Ihr Passwort noch Hashes außerhalb des Browsers.
Unterstützte Passwort-Hash-Funktionen
Argon2id-Generator & Parameter (Einstellungen 2026)
Argon2id ist eine moderne, speicherharte Funktion, die die Kosten für Angreifer auf GPUs und ASICs erhöht. Die OWASP-Baseline 2026 ist m = 19 MiB, t = 2, p = 1 mit einem zufälligen 16-Byte-Salt. Erlaubt es die Hardware, ist m = 64 MiB / t = 3 / p = 4 stärker. Passen Sie die Werte an, bis eine einzelne Verifizierung in der Produktion etwa 250–500 ms dauert.
bcrypt-Generator (Cost / Rounds)
bcrypt ist praxiserprobt und überall verfügbar. Cost-Faktor 12 ist das Minimum für 2026; für neue Systeme wird Cost 13–14 empfohlen. Werte über 14 wirken sich spürbar auf die Login-Latenz aus. Wir geben das $2b$-Format für breite Kompatibilität aus. Beachten Sie, dass bcrypt nur die ersten 72 Bytes der Eingabe berücksichtigt.
scrypt-Generator (N, r, p)
scrypt bringt Speicherhärte mit. Die Baseline 2026 ist N = 2^17, r = 8, p = 1 (~128 MiB pro Verifizierung). Für interaktive Logins auf bescheidener Hardware ist N = 2^15 mit r = 8, p = 1 akzeptabel; verwenden Sie nie Werte unter 2^14.
PBKDF2-Generator (SHA-256 / SHA-512)
PBKDF2 bleibt das Arbeitstier für Kompatibilität und FIPS-Konformität. NIST SP 800-63B (Aktualisierung 2024) verlangt mindestens 600.000 Iterationen für PBKDF2-HMAC-SHA256 bzw. 210.000 für PBKDF2-HMAC-SHA512. Prüfen Sie die Werte jährlich, da Hardware schneller wird.
Salts (und optionaler Pepper)
Das Tool erzeugt kryptografisch sichere Salts und lässt Sie Länge und Kodierung (Hex/Base64) festlegen. Manche Deployments ergänzen einen Pepper (ein serverseitiges, standortweites Secret), der nicht im Hash gespeichert wird. Setzen Sie Pepper mit Bedacht ein und verwalten Sie ihn wie andere Secrets.
Mehr dazu:
Passwort-Hashing & Salting erklärt • So wählen Sie die richtige Hash-Funktion
Mehr dazu:
Passwort-Hashing & Salting erklärt • So wählen Sie die richtige Hash-Funktion
So verwenden Sie den Passwort-Hash-Generator
Schritt 1.
Passwort eingeben
- Öffnen Sie den Tab „Erzeugen“ und geben Sie ein Demo-Passwort ein (keine echten Zugangsdaten).
Schritt 2.
Algorithmus wählen
- Für neue Systeme wird in der Regel Argon2id empfohlen.
Schritt 3.
Parameter festlegen:
- Argon2id: Speicher (MiB), Iterationen (t), Parallelität (p).
- bcrypt: Cost (2^cost Runden).
- scrypt: N (Zweierpotenz), r, p.
- PBKDF2: Iterationen und Digest (SHA-256/512).
Schritt 4.
Passwort-Hash erzeugen
- Klicken Sie auf „Passwort-Hash erzeugen“. Kopieren Sie den kodierten String.
Schritt 5.
Passwort-Hash prüfen
- Wechseln Sie zu „Passwort-Hash prüfen“, um ein Paar aus Passwort und kodiertem Hash zu testen.
Bereit, Ihre Authentifizierung aufs nächste Level zu bringen?
Erleben Sie nahtloses, sicheres und skalierbares Identitätsmanagement mit Authgear.
Kostenlos starten
Kann ich das Tool sicher mit echten Passwörtern verwenden?
Das gesamte Hashing erfolgt lokal in Ihrem Browser. Zu Ihrer eigenen Sicherheit sollten Sie Produktions-Secrets trotzdem in keinem Online-Tool verwenden.
Welche Hash-Funktion sollte ich verwenden?
Für neue Systeme wird in der Regel Argon2id empfohlen. bcrypt und scrypt sind weit verbreitet; PBKDF2 ist ein Kompatibilitäts-Fallback. Messen Sie immer nach und wählen Sie Parameter, die Ihre Latenzziele einhalten.
Wie lange sollte das Hashing dauern?
Viele Teams zielen im Authentifizierungspfad auf etwa 250–500 ms. Wählen Sie die langsamsten Einstellungen, bei denen die UX auf Ihrer Produktionshardware noch flüssig bleibt.
Warum verifiziert mein Framework den Hash nicht?
Häufige Ursachen: Leerzeichen/Zeilenenden, abweichende Kodierung (Hex vs. Base64), unterschiedliche bcrypt-Präfixe ($2a$ vs. $2b$) oder ein vergessener Pepper.
Welche Salt-Länge sollte ich verwenden?
16–32 Bytes Zufallsdaten sind Standard. Das Tool verwendet standardmäßig sichere Zufallswerte und zeigt Länge und Kodierung an.
Kann ich mit diesem Tool einen Passwort-Hash entschlüsseln?
Nein, und kein anderes Tool kann das. Argon2id, bcrypt, scrypt und PBKDF2 sind Einweg-Hash-Funktionen, keine Verschlüsselung. Es gibt keinen Schlüssel, der sie „umkehrt“. Ein Passwort lässt sich aus einem Hash nur wiedergewinnen, indem man Kandidaten rät, jeden hasht und vergleicht. Genau das tun Passwort-Cracking-Angriffe, und moderne speicherharte Parameter sind so gewählt, dass dies im großen Maßstab wirtschaftlich unrentabel wird. Um ein bekanntes Passwort gegen einen gespeicherten Hash zu prüfen, nutzen Sie den Tab „Prüfen“.
Argon2id vs. bcrypt vs. scrypt: Was soll ich 2026 wählen?
Argon2id ist der empfohlene Standard für neue Systeme: Es hat die Password Hashing Competition (PHC) gewonnen und ist speicherhart gegen GPU- und ASIC-Angriffe. bcrypt ist für bestehende Deployments mit Cost ≥ 12 in Ordnung, aber nicht speicherhart und auf 72 Bytes Eingabe begrenzt. scrypt ist ebenfalls speicherhart und gut untersucht; wählen Sie es nur, wenn Ihre Laufzeitumgebung keine gepflegte Argon2id-Bibliothek hat. PBKDF2 nur dann, wenn FIPS-/NIST-Konformität es verlangt.
Wie migriere ich von bcrypt zu Argon2id, ohne einen Passwort-Reset zu erzwingen?
Nutzen Sie opportunistisches Rehashing. Verifizieren Sie bestehende Nutzer weiterhin mit bcrypt; bei einem erfolgreichen Login hashen Sie das gerade eingegebene Klartext-Passwort mit Argon2id und aktualisieren das gespeicherte Credential. Führen Sie pro Nutzer ein Feld für die Hash-Version, damit Sie wissen, mit welchem Algorithmus Sie prüfen müssen. Innerhalb weniger Wochen normaler Nutzeraktivität sind die meisten Konten migriert; den Rest können Sie für inaktive Nutzer mit einer Passwort-Reset-Aufforderung erzwingen.