Können Sie den Unterschied zwischen Hashing, Verschlüsselung und Kodierung erklären?
Kurzantwort
Kodierung (wie Base64) ist eine reversible Formatänderung ohne Geheimnis — keine Sicherheit. Verschlüsselung ist mit einem Schlüssel reversibel und schützt die Vertraulichkeit. Hashing ist eine Einwegfunktion, die einen Digest fester Länge erzeugt, für Integritätsprüfungen und Passwortspeicherung verwendet wird und nicht zur Eingabe zurückgerechnet werden kann.
Diese drei Begriffe werden ständig verwechselt, und sie zu vermengen führt zu echten Sicherheitsfehlern — etwa ein Passwort in Base64 zu „verschlüsseln". Jeder tut etwas grundlegend anderes.
Kodierung
Kodierung wandelt Daten in ein anderes Format um, für Kompatibilität oder Transport, nicht zur Geheimhaltung. Base64, URL-Kodierung und ASCII sind Beispiele. Es gibt keinen Schlüssel — jeder kann es trivial dekodieren. Wenn Sie Base64 sehen, das ein „Geheimnis" schützt, ist das ein Befund, keine Maßnahme.
Verschlüsselung
Verschlüsselung wandelt Daten so um, dass sie nur von jemandem mit dem richtigen Schlüssel gelesen werden können, und sie ist von Natur aus reversibel. Ihr Zweck ist die Vertraulichkeit. Ohne den Schlüssel ist der Geheimtext bedeutungslos; mit ihm gewinnen Sie den ursprünglichen Klartext exakt zurück. Das schützt Daten bei der Übertragung (TLS) und im Ruhezustand (Festplattenverschlüsselung).
Hashing
Hashing schickt Daten durch eine Einwegfunktion (SHA-256, bcrypt, Argon2), um einen Digest fester Länge zu erzeugen. Sie können einen Hash nicht zur Eingabe zurückrechnen. Seine Zwecke sind Integrität (dieselbe Eingabe ergibt stets denselben Hash, sodass jede Änderung erkennbar ist) und Passwortspeicherung (den Hash speichern, Hashes beim Login vergleichen, nie den Klartext speichern).
Speziell bei Passwörtern verwendet man einen langsamen Hash plus einen pro Nutzer einzigartigen Salt, damit identische Passwörter unterschiedliche Hashes erzeugen und vorberechnete „Rainbow-Table"-Angriffe scheitern.
Der schnelle Test
Fragen Sie: kann ich das Original zurückbekommen, und brauche ich dafür ein Geheimnis? Kodierung — ja, ohne Geheimnis. Verschlüsselung — ja, mit einem Schlüssel. Hashing — nein, niemals.
Warum das wichtig ist
Interviewer nutzen dies, um eine klassische Verwechslung aufzudecken. Ein Kandidat, der Zweck und Reversibilität jedes Verfahrens benennen kann und weiß, dass Passwörter gesalzen und gehasht werden sollten (nicht verschlüsselt, nie kodiert), zeigt genau die Präzision, die Schlagzeilen über Datenlecks verhindert.
Wahrscheinliche Anschlussfragen
- Warum sollten Passwörter gehasht und gesalzen statt verschlüsselt werden?
- Was ist ein Salt und gegen welchen Angriff schützt es?
- Ist Base64 jemals geeignet, um Geheimnisse zu schützen?