Definition. Ein Image-Digest ist die SHA-256-Prüfsumme des Manifests eines Container-Images, geschrieben etwa als image@sha256:…. Anders als ein Tag wie latest oder v1.2 lässt sich ein Digest nicht auf ein anderes Image umbiegen.

Warum relevant. Tags sind veränderliche Zeiger. Wer per Digest referenziert, bekommt immer genau das getestete Artefakt, und ein neues Image gelangt nur über eine Änderung im Repository ins Cluster. Werkzeuge wie Renovate ziehen Digests automatisch als Merge Request nach.

Beispiel. Die Tags latest und main-stable von LiteLLM zeigten am 21. Oktober 2026 auf Docker Hub rund zweieinhalb Stunden auf ein manipuliertes Image. Deployments, die per Digest auf eine ältere Version verwiesen, zogen es nicht.

Verwandt. Karenzzeit, Lockfile, GitOps, Supply-Chain-Angriff