Erklärung
Eine Hashfunktion bildet beliebig große Daten auf eine Zeichenfolge fester Länge ab. Bekannte Verfahren sind SHA-256 und ältere Verfahren wie MD5. Für denselben Inhalt ergibt sich immer derselbe Wert; schon eine minimale Änderung führt zu einem völlig anderen Ergebnis. Aus dem Hashwert lässt sich der ursprüngliche Inhalt nicht zurückrechnen.
In der Forensik wird er verwendet, um zu belegen, dass eine Kopie mit dem Original übereinstimmt und dass Daten zwischen zwei Zeitpunkten unverändert geblieben sind. Auch zum Wiederfinden bekannter Dateien wird er genutzt, etwa beim Abgleich mit Listen bekannter Dateien.
Was ein Hashwert nicht leistet: Er sagt nichts darüber aus, ob die Daten inhaltlich richtig oder echt sind, wie sie entstanden sind oder wer sie bearbeitet hat. Er belegt lediglich die Übereinstimmung zweier Datenstände. Wird der Hashwert erst nach einer Veränderung berechnet, bestätigt er nur den veränderten Zustand. Ältere Verfahren wie MD5 gelten kryptografisch als geschwächt und sollten für Integritätsnachweise nicht allein verwendet werden.
Typisches Beispiel (schematisch)
Nach dem Erstellen eines Abbilds wird ein SHA-256-Wert berechnet und im Protokoll festgehalten. Bei der späteren Auswertung wird der Wert erneut berechnet. Er stimmt überein, die Kopie ist also unverändert gegenüber dem damaligen Stand.
Bedeutung für Forensik und Ermittlungen
Hashwerte sind ein Baustein von Integritätsprüfung und Chain of Custody. Sie gehören in die Dokumentation neben Zeitpunkt, Werkzeug und beteiligten Personen.
Erkennung und Prävention
Hashwerte sollten getrennt vom gesicherten Material aufbewahrt oder zusätzlich bestätigt werden, damit sie nicht gemeinsam mit den Daten verändert werden können.
Auch gesucht als Hash, Hash-Wert, Prüfsumme, Fingerabdruck einer Datei, SHA-256, SHA256, MD5, Hashfunktion, Checksumme