So nutzt du: Bcrypt Generator & Prüfer
- Gib ein Passwort ein und wähle einen Cost-Faktor (10–12 ist üblich).
- Klicke auf Hash generieren; jeder Durchlauf erzeugt einen anderen Hash, weil das Salt zufällig ist.
- Zum Prüfen eines Passworts fügst du es zusammen mit dem gespeicherten Hash unter Passwort prüfen ein.
Was ist bcrypt?
Bcrypt ist eine Passwort-Hashfunktion, die 1999 entwickelt wurde und bewusst langsam ist. Jeder Hash enthält ein zufälliges 128-Bit-Salt und einen Cost-Faktor: Der Aufwand wächst mit 2cost, sodass du das Hashing mit schnellerer Hardware entsprechend verlangsamen kannst. Dadurch sind Brute-Force-Angriffe auf gestohlene Hashes deutlich teurer als bei schnellen Hashfunktionen wie MD5 oder SHA-256, die für Passwörter allein niemals verwendet werden sollten.
Aufbau eines Bcrypt-Hashes
$2b$12$R9h/cIPz0gi.URNNX3kh2OPST9/PgBkqquzi.Ss7KIUgO2t0jWMUW
│ │ └ 22-char salt └ 31-char hash$2b$ ist die Algorithmusversion und 12 der Cost-Faktor. $2a$, $2b$ und $2y$ erzeugen bei normalen Passwörtern identische Hashes; $2y$ ist die Bezeichnung, die PHP und Apache verwenden, $2b$ ist der aktuelle Standard von OpenBSD.
Den Cost-Faktor wählen
| Cost | Iterationen | Verwendung |
|---|---|---|
| 4–8 | 16–256 | Nur für Unit-Tests |
| 10 | 1.024 | Häufiger Standard (Laravel, Node bcrypt) |
| 12 | 4.096 | Gute Wahl auf aktuellen Servern (~250 ms) |
| 14+ | 16.384+ | Sehr langsam; kann die Login-Performance beeinträchtigen |
Peile auf deiner Produktionshardware 100–500 ms pro Hash an. Die oben angezeigte Zeit wird in deinem Browser gemessen und ist nur ein Richtwert.
Bcrypt lässt sich nicht „entschlüsseln“
Bcrypt ist eine Einwegfunktion: Es gibt keinen Schlüssel, der einen Hash zurück in ein Passwort verwandelt. Die Prüfung funktioniert, indem das Kandidatenpasswort mit dem im Hash gespeicherten Salt und Cost-Faktor gehasht und das Ergebnis verglichen wird – genau das macht der Prüfer. Beachte, dass Bcrypt alles nach den ersten 72 Bytes eines Passworts ignoriert.
Für HTTP-Basic-Auth-Dateien nutze den htpasswd-Generator; um starke Passwörter zu erstellen, nutze den Passwort-Generator.
Auch gesucht als: bcrypt hash generator, bcrypt online, bcrypt prüfen, bcrypt checker, passwort hashen bcrypt, bcrypt entschlüsseln, $2y$ hash, bcrypt hash erstellen.
Passende Tools zu: Bcrypt Generator & Prüfer
- Hash-Generator — Berechne MD5- und SHA-Hashes von beliebigem Text oder beliebiger Datei sofort, erstelle HMAC-Signaturen und füge eine erwartete Prüfsumme ein, um einen Download zu verifizieren.
- HMAC Generator — Berechne schlüsselbasierte HMAC-Signaturen für API-Anfragen und Webhooks und prüfe, ob eine empfangene Signatur gültig ist — mit der Web Crypto API deines Browsers.
- Passwort-Sicherheitscheck — Gib ein Passwort ein, um zu sehen, wie viele mögliche Kombinationen es gibt, wie lange es dauern würde, es zu knacken, welche Muster es schwächen – und, wenn du möchtest, ob es in bekannten Datenlecks auftaucht.
- JWT-Decoder — Füge ein JSON-Web-Token ein, um dessen Header und Payload zu überprüfen, das Ablaufdatum zu ermitteln und die Signatur zu verifizieren.
Häufige Fragen
Kann man einen Bcrypt-Hash entschlüsseln?
Warum ist der Hash jedes Mal anders?
Sind $2a$, $2b$ und $2y$ kompatibel?
password_verify akzeptiert alle drei.