Was ist Hashing?
Hashing schickt Daten durch eine mathematische Einwegfunktion. Heraus kommt eine Zeichenkette fester Länge, der Hashwert. Beim Standardverfahren SHA-256 sind das 256 Bit, geschrieben als 64 Zeichen aus Ziffern und Buchstaben.
Drei Eigenschaften machen eine gute Hashfunktion aus, so beschreibt es das BSI: Aus dem Hash lässt sich die Eingabe nicht berechnen, es ist praktisch unmöglich, eine zweite Eingabe mit demselben Hash zu finden, und zwei beliebige Eingaben mit gleichem Hash zu bauen, ebenso. Das BSI zählt SHA-256 zu den kryptographisch starken Verfahren, vom älteren SHA-1 rät es ab.
Wofür Hashing im Marketing genutzt wird
Wenn du Kundendaten an Werbeplattformen gibst, gehen sie fast immer gehasht raus. Die Plattform hasht ihre eigenen Nutzerdaten genauso und vergleicht dann die Hashes. Treffen zwei aufeinander, ist es dieselbe Person.
- Kundenabgleich: Kundenlisten bei Google Ads für Zielgruppen hochladen.
- Erweiterte Conversions: E-Mail-Adresse beim Kauf mitschicken, um Conversions zuzuordnen.
- Meta Conversions API und Custom Audiences: dasselbe Prinzip bei Facebook und Instagram.
Ein Hash ist gnadenlos genau. Schon ein Großbuchstabe oder ein Leerzeichen ergibt einen völlig anderen Wert:
Eingabe
SHA-256 beginnt mit
max.mustermann@beispiel.de
ea16fb10…
␣Max.Mustermann@Beispiel.de␣
6f4755a5…
Deshalb verlangen Google und Meta, die Daten vorher zu normalisieren: Leerzeichen am Rand entfernen, alles kleinschreiben, Telefonnummern im internationalen Format mit Ländervorwahl. Ohne diesen Schritt findet der Abgleich keinen Treffer.
Pseudonym, nicht anonym
Die DSGVO unterscheidet zwei Dinge. Anonyme Daten lassen sich keiner Person mehr zuordnen und fallen nicht unter die DSGVO. Pseudonyme Daten lassen sich mit Zusatzwissen wieder zuordnen und bleiben personenbezogen, so steht es in Art. 4 Nr. 5 und Erwägungsgrund 26.
Gehashte E-Mail-Adressen sind pseudonym. Das hat die Art.-29-Gruppe, Vorgänger des Europäischen Datenschutzausschusses, schon 2014 festgehalten: Wer die möglichen Eingaben kennt, hasht sie einfach alle und vergleicht. Auch ein „gesalzener“ Hash bleibt mit vertretbarem Aufwand umkehrbar. Der Ausschuss hat das im Januar 2025 in einem Leitlinien-Entwurf zur Pseudonymisierung bestätigt, ausdrücklich am Beispiel SHA-256.
Für das Marketing heißt das: Hashing ist eine sinnvolle Schutzmaßnahme beim Transport. Eine Rechtsgrundlage ersetzt es nicht. In der Praxis brauchst du meist die Einwilligung.
Häufige Fehler
Fehler 1 · Gehasht für DSGVO-frei halten
Das ist der teuerste Irrtum. Behörden und Gerichte sehen gehashte Kundendaten als personenbezogen. Auch die US-Handelsbehörde FTC schrieb 2024 knapp: Hashing macht Daten nicht anonym.
Fehler 2 · Ohne Normalisierung hashen
Großbuchstaben, Leerzeichen oder Telefonnummern mit führender Null: Jeder kleine Unterschied verhindert den Treffer. Die Match-Rate sinkt, und du merkst es nur an schwachen Zahlen.
Fehler 3 · Das Falsche hashen
Bei der Meta Conversions API dürfen IP-Adresse, User Agent und die Cookie-Werte fbc und fbp laut Doku ausdrücklich nicht gehasht werden. Lies die Feldliste der Plattform, bevor du alles durch die Hashfunktion jagst.
So gehst du richtig mit Hashing um
- Plattform hashen lassen: Google-Tag und Meta-SDK hashen selbst. Das spart Fehler bei der Normalisierung.
- Selbst hashen nur mit Regeln: Wenn du es selbst machst, die Normalisierung der Plattform genau befolgen und SHA-256 als Hexwert nutzen.
- Einwilligung einholen: Für Kundenlisten-Uploads und Conversions API in der Regel per Opt-in, für erweiterte Conversions über Consent Mode.
- Datenschutzerklärung anpassen: Nennen, welche Daten gehasht an wen gehen.
- Keine Online-Generatoren: Echte Kundendaten nie in Webseiten zum Hashen eintippen.
Häufige Fragen
Sind gehashte E-Mail-Adressen personenbezogene Daten?
In der Regel ja. Sie gelten als pseudonym, weil sich die Zuordnung mit Zusatzwissen herstellen lässt. Google und Meta gleichen genau so ab.
Kann man einen SHA-256-Hash zurückrechnen?
Direkt nicht. Wer die möglichen Eingaben kennt, etwa E-Mail-Adressen, kann sie aber alle hashen und vergleichen. Deshalb gelten Hashes nicht als anonym.
Brauche ich eine Einwilligung, wenn ich Kundendaten gehasht hochlade?
In der Praxis meist ja. Hashing ersetzt keine Rechtsgrundlage, das bestätigte etwa das Verwaltungsgericht Bayreuth 2018 für Custom Audiences.
Wie muss ich E-Mail-Adressen vor dem Hashen aufbereiten?
Leerzeichen am Anfang und Ende entfernen und alles kleinschreiben. Telefonnummern ins internationale Format mit Ländervorwahl bringen. Die Plattformen beschreiben ihre Regeln in ihrer Hilfe.
Was ist der Unterschied zwischen Hashing und Verschlüsselung?
Verschlüsselte Daten lassen sich mit dem richtigen Schlüssel wieder lesbar machen. Ein Hash ist eine Einbahnstraße ohne Schlüssel zum Zurückrechnen.
Quellen
- BSI: Technische Richtlinie TR-02102-1
- DSGVO (EUR-Lex), Art. 4 Nr. 5 und Erwägungsgrund 26
- Art.-29-Datenschutzgruppe: Stellungnahme 05/2014 zu Anonymisierungstechniken
- EDSA: Leitlinien 01/2025 zur Pseudonymisierung (Entwurf)
- BayLDA: Pressemitteilung zu Custom Audiences (2018)
- FTC: No, hashing still doesn't make your data anonymous
