Also erstmal: Wie groß (also wieviele Zeichen) ein Hash ist, hängt einzig und allein vom Hash-Algorithmus ab. Wenn ein Algorithmus 128Bit Hashes erzeugt, dann haben alle Hashes dieses Algorithmuses 128Bit. Man kann sich also nicht aussuchen ob man jetzt ein 16Byte oder 32Byte Hash haben will. Und die Hashes drückt man in der Regel auch nicht als "normale" Zeichenketten aus, sondern stellt sie in Hexadezimal-Schreibweise dar.

Werden lokale Passwörter (von einem x-beliebigen programm mit passwort-abfrage) in hash-werten gespeichert? oder im klartext?

Das kommt auf das x-beliebige Programm an. Passwörter im Klartext zu speichern ist allgemein sehr schlechter Stil, aber es gibt durchaus Programme die es machen. Es kommt aber auch stark darauf an, was das Programm mit den Passwörtern macht. Windows z.B. speichert die Benutzeraccount Passwörter als Hash, da er ja nur überprüfen muss, ob ein eingegebenes Passwort dem gespeicherten entspricht. Anders ist es bei E-Mail-Clients und Webbrowsern, die Passwörter von E-Mail-Accounts und Webseiten speichern. In diesem Falle kann man sie nicht nur als Hash speichern, da das Programm ja in der Lage sein muss, das Passwort zum einloggen wieder komplett zu rekonstruieren.

Online werden alle Passwörter (Login-Interfaces) in Hashes gespeichert soweit ich weiß.

Das sollten sie zwar, aber sicher kann man sich dabei nie sein. Es hängt einzig allein vom Programmierer der Seite (oder der verwendeten Software) ab, wie die Passwörter auf Webseiten gespeichert werden.

Die 32Byte werden oft im Zusammenhang mit MD5 genannt, das liegt aber nur daran, das die meisten MD5-Hashes als String (ein Byte pro Character) abgespeichern und nicht als hexadezimaler Wert (Halbes Byte pro Character). Rainbowtables sind der Mittelweg aus berechnen und abspeichern. Einen Hash mittels Rainbowtables zu knacken dauert erheblich länger als wenn man eine Tabelle hat, in der alle Buchstabenkombinationen (bis n Zeichen) und die dazugehörigen Hashes stehen, dafür benötigen diese nur ein Bruchteil an Speicherplatz.

Der wesentliche Trick ist die Reduktion(sfunktion). Eine Rainbow-Table besteht aus Ketten z.B. mit 1000 Gliedern. In der Datenbank steht zu jeder Kette nur das erste Passwort und er Hash dazu. Die Reduktion macht aus dem Hash einen eindeutigen anderen String z.b. der Länge 16 und daraus wieder einen Hash und wieder eine Reduktion und wieder ein hash. Solange bis ein Hash schonmal dran war oder die 1000 voll sind. In der Tabelle stehen dann das erste und der letzte Glied der Kette. Wenn man nun einen Hash knacken will, führt man die Reduktionsfunktion aus und hasht es wieder usw. bis man bei einem String ist, den man als letztes Glied irgendwo gespeichert hat. Wenn man das gefunden hat, nimmt man das erste Glied zu der Kette und berechnet die Kette erneut durch. Dann muss man zwangsläufig auf ein Wort stoßen, dass diesen Hash erzeugt.

Ich hoffe das war verständlich erklärt, sonst am besten nochmal bei Wikipedia nachlesen.