MD5, SHA-1 oder SHA-256 für Kundendaten?

8apps-Team·

Das Tool bietet fünf Algorithmen, der Upload braucht genau einen. Was Google, Meta und TikTok akzeptieren, wie du jeden Digest erkennst, und die Regel dazu.

Die Regel in einem Satz

Nimm SHA-256, hexadezimal, in Kleinbuchstaben – es sei denn, die Dokumentation des Ziels sagt schriftlich etwas anderes. Alles Weitere ist die Begründung und die Ausnahmen.

Was die Plattformen dokumentieren

  • Google Ads: "Use hex SHA256" – die Seite zur Formatierung von Kundendaten nennt SHA-256 und Hex-Kodierung.
  • Meta: SHA-256-Digests, hexadezimal mit Kleinbuchstaben – die Doku verlangt "HEX representations… using lowercase for A through F", und der veröffentlichte Testwert ist ein SHA-256-Digest.
  • TikTok: der Ausreißer, der eine Wahl dokumentiert – "MD5 and SHA256 encryption is supported", wobei der Dateiinhalt vor der Verschlüsselung "in all uppercase or lowercase" vorliegen soll. TikTok akzeptiert außerdem ungehashte Werte und hasht sie selbst.

SHA-1 dokumentiert niemand für Kunden-Uploads, und nichts Stärkeres als SHA-256 verlangt irgendwer.

Warum sich SHA-256 durchgesetzt hat

MD5 (1992) und SHA-1 (1995) gelten hinsichtlich Kollisionsresistenz als kryptografisch gebrochen – beide wurden branchenweit vor Jahren aus dem Sicherheitseinsatz genommen. Für das Upload-Matching entscheidet ohnehin die Präferenz der Plattformen: SHA-256 steht in den Dokumentationen, also passt SHA-256 zusammen. TikToks MD5-Unterstützung liest sich am besten als Altlast-Zugeständnis – unterstützt heißt nicht empfohlen, und eine SHA-256-Spalte bedient TikTok und bleibt für die beiden anderen wiederverwendbar.

Einen Digest auf einen Blick erkennen

Die Hex-Länge ist pro Algorithmus fest – damit identifiziert sich eine Tabellenspalte selbst:

AlgorithmusHex-LängeSieht aus wie
MD532 Zeichen9e107d9d372bb682…
SHA-140 Zeichen2fd4e1c67a2d28fc…
SHA-25664 Zeichen62a14e44f765419d…

=LEN(B2) die Spalte hinuntergezogen verrät dir, was eine rätselhafte Datei enthält: 32 heißt, jemand hat mit MD5 gehasht, 64 mit SHA-256, und 128 heißt, ein Digest wurde erneut gehasht. Schneller lässt sich eine geerbte "schon gehashte" Liste nicht prüfen.

Was der Algorithmus nicht reparieren kann

Ein perfekter SHA-256 einer schlecht normalisierten Eingabe passt zu nichts. Groß- und Kleinschreibung, Leerzeichen, Telefonformate, die sich je Plattform unterscheiden – die Normalisierung entscheidet über die Match-Rate; der Algorithmus muss lediglich der sein, den das Ziel erwartet. Die Normalisierungsregeln stehen in unseren Leitfäden zum Hashen von E-Mail-Adressen und Telefonnummern: Wähle hier den Algorithmus, mach die eigentliche Arbeit dort.

Wo Hash Data hineinpasst

Hash Data stellt mehrere Hash-Algorithmen als Formeln in Google Tabellen bereit – wenn also ein Ziel SHA-256 will und ein Altsystem noch MD5 verlangt, sind beide ein Herunterziehen in derselben Tabelle, direkt neben den Normalisierungsformeln, die tatsächlich darüber entscheiden, ob etwas zusammenpasst.

Quellen