Dijital Delillerin İmajının Alınması (Adli Bilişim) Süreci – 2026
Dijital delillerin imajının alınması (adli bilişim) süreci nasıl işler?
Dijital delilin imajı (adli kopyası), bir veri taşıyıcısındaki tüm içeriğin, silinmiş dosyalar ve meta veriler dahil olmak üzere birebir ve doğrulanabilir kopyasının alınması işlemidir. Bu işlem verilerin bütünlüğünü sağlar; adli süreçlerde delillerin hukuka aykırı sayılmasını önlemek için CMK 134 kapsamında zorunludur.
İmaj Alma Sürecinin Temel Aşamaları:
- 1. Yazma Koruması (Write Blocker): İmaj alınacak cihaza (telefon, bilgisayar, harici disk) hiçbir veri yazılmaması veya var olan verilerin değiştirilmemesi için donanımsal veya yazılımsal yazma korumaları kullanılır
- 2. Hash Değeri Hesaplama: Orijinal medyanın değiştirilmediğini kanıtlamak için verinin matematiksel parmak izi sayılan Hash değerleri (MD5, SHA-1 veya SHA-256) hesaplanır
- 3. Kopyalama (İmaj Oluşturma): Uzman yazılımlar aracılığıyla (örn. FTK Imager, EnCase) medyanın bit-bit (bit-stream) kopyası oluşturulur
- 4. Doğrulama: Alınan imajın Hash değeri ile orijinal medyanın Hash değeri karşılaştırılır. Değerlerin birbirini tutması, kuşkusuz ve orijinalle aynı olduğunu kanıtlar
Hukuki ve Teknik Standartlar:
- İmaj Alma Zorunluluğu: El koyma kararı uygulandığında dijital delillerin doğrudan orijinal cihaz üzerinden değil, mutlaka imajı alınarak incelenmesi gerekir
- Rıza ve Hukuka Uygunluk: Cihazların rızaya dayalı teslimi dahilinde bile, delillerin güvenilirliği açısından imaj ve hash değerlerinin uzmanlarca hukuka uygun biçimde alınması şarttır
Dijital delillerin imajının alınması, günümüz ceza yargılamasında en kritik teknik ve hukuki işlemlerden biridir. Bilgisayar, akıllı telefon, tablet, harici disk, USB bellek, sunucu, bulut bağlantılı sistem veya diğer dijital medya üzerindeki verilerin aslına sadık kalınarak kopyalanması ve delil bütünlüğünün korunması adli bilişim disiplininin özünü oluşturur. Bu rehberde dijital delillerin imajının alınması CMK 134 çerçevesini, adli bilişim imaj alma süreci ve teknikleri detaylarını, dijital delil hash değeri doğrulaması MD5 SHA256 sistematiğini, yazma koruma donanımı write blocker kullanımını, cep telefonu imajı nasıl alınır adli bilişim usulünü, dijital materyallere el koyma ve imaj verme zorunluluğunu, kullanılan yazılımları (FTK Imager, EnCase, Cellebrite UFED), hukuka aykırı dijital delil Yargıtay kararlarını, delil zincirini (chain of custody), adli bilişim raporu içeriğini, TCK 243-244 riski ile İzmir uygulamasını sistematik biçimde aktarıyorum. Yasal dayanak 5271 sayılı Ceza Muhakemesi Kanunu m.134, m.217 ve 6100 sayılı HMK m.218-219 hükümleridir.
Dijital Delil ve İmaj Kavramı
Dijital Delil ve İmaj Kavramı
Bit Seviyesinde Birebir Kopya
Dijital delilin imajı, bir dijital cihazdaki verilerin bit düzeyinde birebir kopyasının çıkarılmasıdır. Bu işlem sıradan bir dosya kopyalama veya klasör aktarımı değildir. Amaç, cihaz üzerindeki verinin teknik olarak birebir kopyasını üretmektir; öyle ki silinmiş dosyalar, meta veriler (metadata), boş alanda (unallocated space) kalan veri parçaları, tahsis edilmemiş sektörler ve zaman damgaları dahil her şey korunur. Bu sayede orijinal veriye dokunulmadan tüm inceleme kopya üzerinden yürütülür ve delilin bütünlüğü korunur.
İmaj vs Basit Kopya vs Ekran Görüntüsü
Uygulamada bu üç kavram sıkça karıştırılır. Farkları:
- Ekran Görüntüsü: Yalnızca ekranda görüneni yakalar. Manipülasyona son derece açıktır, bağlamı gösteremez, silinmiş içerik yakalanamaz
- Basit Kopya: Dosya yöneticisi ile yapılan kopyalama. Meta veriler değişebilir, silinmiş içerik alınamaz, zaman damgaları kaybolur
- Adli Bilişim İmajı: Bit-stream düzeyinde birebir kopya. Silinmiş içerik dahil tüm sektörler korunur, hash değeri ile doğrulanır, mahkemede geçerlilik esasıdır
İzmir Avukat – Dijital Delil ve Adli Bilişim
CMK 134 kapsamında el koyma itirazı, hash doğrulaması, bilirkişi raporu itirazı ve hukuka aykırı dijital delil davalarında İzmir’de hukuki destek alın.
Dijital Delillerin İmajının Alınması CMK 134 Hukuki Dayanağı
Ceza Muhakemesi Kanunu Madde 134
“(1) Bir suç dolayısıyla yapılan soruşturmada, somut delillere dayanan kuvvetli şüphe sebeplerinin varlığı ve başka surette delil elde etme imkanının bulunmaması halinde, hakim veya gecikmesinde sakınca bulunan hallerde Cumhuriyet savcısı tarafından şüphelinin kullandığı bilgisayar ve bilgisayar programları ile bilgisayar kütüklerinde arama yapılmasına, bilgisayar kayıtlarından kopya çıkarılmasına, bu kayıtların çözülerek metin haline getirilmesine karar verilir.”
“(2) Bilgisayar, bilgisayar programları ve bilgisayar kütüklerine şifrenin çözülememesinden dolayı girilememesi veya gizlenmiş bilgilere ulaşılamaması ya da işlemin uzun sürecek olması halinde çözümün yapılabilmesi ve gerekli kopyaların alınabilmesi için, bu araç ve gereçlere elkonulabilir.”
“(3) Bilgisayar veya bilgisayar kütüklerine elkoyma işlemi sırasında, sistemdeki bütün verilerin yedeklemesi yapılır.”
“(4) Üçüncü fıkraya göre alınan yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir ve bu husus tutanağa geçirilerek imza altına alınır.”
“(5) Bilgisayar veya bilgisayar kütüklerine elkoymaksızın da, sistemdeki verilerin tamamının veya bir kısmının kopyası alınabilir. Kopyası alınan veriler kağıda yazdırılarak, bu husus tutanağa kaydedilir ve ilgililer tarafından imza altına alınır.”
CMK 134/1 – Karar Zorunluluğu
İşlem için hakim kararı (kural) ya da gecikmesinde sakınca varsa Cumhuriyet savcısı kararı aranır. Şartlar: kuvvetli şüphe + başka surette delil elde etme imkanının bulunmaması.
CMK 134/2 – El Koyma
Şifre çözülemezse, gizli bilgiye ulaşılamazsa veya işlem uzun sürecekse cihaza el konulabilir. Çözüm ve kopyalama tamamlandığında iade edilir.
CMK 134/3 – Yedekleme Zorunluluğu
El koyma sırasında sistemdeki bütün verilerin yedeklemesi zorunludur. Bu, sonradan yapılacak inceleme için orijinal veri durumunun korunması için elzemdir.
CMK 134/4 – Şüpheliye Kopya Verme Zorunluluğu
Alınan yedekten bir kopya şüpheliye veya vekiline verilir ve tutanağa geçirilir. Bu, savunma hakkının kritik güvencesidir.
CMK 134/5 – Yerinde İmaj Alma
El koymaksızın yerinde kopya alınabilir. Ticari sürekliliği bozmadan verinin muhafazasını sağlar. Tutanağa kaydedilir ve ilgililerce imzalanır.
CMK 217 – Hukuka Uygunluk
Hakim kararını duruşmada tartışılmış ve hukuka uygun elde edilmiş delillere dayandırabilir. Bu nedenle imaj alma süreci usule uygun olmalı ve tutanakla belgelenmelidir.
Adli Bilişim İmaj Alma Süreci ve Teknikleri (4 Temel Aşama)
Standart Süreç: Write Blocker → Hash → Bit-Stream Kopya → Doğrulama
AI Bakışı’nda da vurgulanan uluslararası kabul görmüş adli bilişim standardı; ISO/IEC 27037 ve NIST SP 800-86 rehberleri ile uyumlu 4 aşamalı bir süreçtir. Bu aşamalar birbirini tamamlar ve herhangi birinin atlanması delilin hukuki geçerliliğini tehlikeye atar.
1. Aşama – Yazma Koruma Donanımı Write Blocker Kullanımı
Donanımsal Write Blocker
Cihazın (harici disk, USB, SSD, hafıza kartı) fiziksel arayüzü ile inceleme bilgisayarı arasına yerleştirilir. Yazma sinyallerini fiziksel olarak engeller, sadece okuma sinyallerine izin verir.
Örnekler: Tableau T35u, WiebeTech UltraDock, CRU WriteBlocker.
Yazılımsal Write Blocker
İşletim sistemi seviyesinde çalışır. Windows Registry’ye “USBSTOR write protect” eklenir veya özel adli bilişim yazılımları (Guymager, DEFT) kullanılır.
Kullanım Alanı: Donanımsal cihazın kullanılamadığı acil durumlar.
Neden Gerekli?
İşletim sistemi bir depolama aygıtına takıldığında otomatik olarak sistem dosyalarını okur, geçici dosyalar yazar, indeksleme yapar. Bu işlemler hash değerini değiştirir ve delilin bütünlüğü kaybolur.
Cep Telefonlarında Farklı Yaklaşım
Akıllı telefonlar için write blocker kullanılamaz (cihaz açık kalmalıdır). Bunun yerine Faraday çantası (RF izolasyon torbası) kullanılarak ağ bağlantısı kesilir ve uzaktan silme (remote wipe) engellenir.
Write Blocker Kullanılmayan İmaj = Delil Değeri Tartışması
Write blocker kullanılmadan alınan imajlarda, işletim sisteminin kendi eklediği sistem dosyaları nedeniyle orijinal hash değeri ile alınan hash değeri uyuşmaz. Bu durum savunma tarafından ciddi bir delil itirazı gerekçesi olarak kullanılır. Yerleşik Yargıtay yaklaşımı; usulüne uygun teknik prosedür izlenmemiş dijital delillerin hükme esas alınamayacağı yönündedir.
2. Aşama – Dijital Delil Hash Değeri Doğrulaması MD5 SHA256
Hash Doğrulama Formülü
Orijinal Hash Değeri = Kopya Hash Değeri → Delil Bütünlüğü Doğrulanmıştır
Örnek SHA-1: da39a3ee5e6b4b0d3255bfef95601890afd80709
Örnek SHA-256: e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
MD5 (Message Digest 5)
Uzunluk: 128 bit (32 karakter hex).
Hız: Çok hızlı.
Güvenlik: Kriptografik olarak zayıflamıştır (collision saldırıları), ancak adli bilişim doğrulamasında hızı nedeniyle yaygın kullanılır. Genellikle SHA ile birlikte hesaplanır.
SHA-1 (Secure Hash Algorithm 1)
Uzunluk: 160 bit (40 karakter hex).
Hız: Orta.
Güvenlik: 2017’de collision saldırısı gösterilmiştir. Yine de adli bilişim standartlarında halen kabul görmektedir.
SHA-256 (Secure Hash Algorithm 256)
Uzunluk: 256 bit (64 karakter hex).
Hız: Orta-yavaş.
Güvenlik: Endüstri standardı, halen güvenli. NIST tarafından da önerilen algoritma. Modern adli bilişim uygulamalarında birincil hash algoritmasıdır.
Neden 3 Hash Birden Kullanılır?
Modern uygulamada MD5 + SHA-1 + SHA-256 üçlüsü birlikte hesaplanır. Bunun sebebi:
- Farklı algoritmaların aynı anda çakışma yaşama olasılığı ihmal edilebilir
- Farklı yazılımların farklı algoritma tercih etmesi
- Uluslararası standardlar (ISO 27037) her ikisini önerir
Tek Bit Değişse Hash Değişir
Hash algoritmasının en güçlü özelliği avalanche effect (çığ etkisi). Verinin bir biti bile değişse hash değeri tamamen farklı çıkar. Bu, delil üzerinde en ufak müdahaleyi bile tespit edebilmemizi sağlar.
Hash Değeri Kayıtları
Elde edilen tüm hash değerleri:
- İmaj alma tutanağına yazılır
- Bilirkişi raporunda belirtilir
- Delil zincirinde her aşamada yeniden hesaplanır
- Adli tıp/UYAP kayıtlarına eklenir
3. Aşama – Kullanılan Adli Bilişim Yazılımları
| Yazılım | Üretici | Kullanım Alanı | Özellik |
|---|---|---|---|
| FTK Imager | AccessData | Bilgisayar, disk, USB imajı | Ücretsiz, DD/E01/AFF format desteği, hash otomatik |
| EnCase Forensic | OpenText / Guidance | Bilgisayar imajı ve derin analiz | Sektör lideri, E01 formatı, geniş dosya sistemi desteği |
| Cellebrite UFED | Cellebrite | Cep telefonu, tablet imajı | 10.000+ cihaz desteği, silinmiş veri kurtarma, şifre kırma |
| Magnet AXIOM | Magnet Forensics | Multi-platform (mobil + bilgisayar + bulut) | Entegre çözüm, artefakt analizi |
| Oxygen Forensic Detective | Oxygen Forensics | Mobil cihaz ve bulut hesap analizi | WhatsApp, Signal, Telegram şifreli veri desteği |
| Autopsy / The Sleuth Kit | Basis Technology | Bilgisayar disk analizi | Açık kaynak, ücretsiz, timeline analizi |
| X-Ways Forensics | X-Ways Software | Detaylı disk analizi | Yüksek performans, hex editör entegrasyonu |
| DD (Unix komut satırı) | GNU | Linux tabanlı sistemlerde imaj | Ücretsiz, düşük seviye, mantıksal ve fiziksel imaj |
Yazılım Türkiye’de Kabul Şartı
Türkiye’deki adli tıp kurumları, kolluk siber suç birimleri ve mahkemelerde kabul gören yazılımlar başlıca FTK Imager, EnCase, Cellebrite UFED ve Magnet AXIOM’dur. Bu yazılımlar hem uluslararası uyumlu hem de Yargıtay içtihatlarında adı geçmektedir. Bilirkişi raporlarında kullanılan yazılım isminin ve versiyonunun belirtilmesi zorunludur.
4. Aşama – Doğrulama ve Bit-Stream Kopya
Bit-Stream Nedir?
Bit-stream kopya, cihazın depolama alanının bit bit (sektör sektör) tam kopyasıdır. Yani cihaz ne kadar dolu olursa olsun, boş sektörler de dahil olmak üzere fiziksel medyanın tam bir yansımasıdır.
Fiziksel vs Mantıksal İmaj
Fiziksel İmaj: Diskin tüm sektörleri (dolu+boş+silinmiş bölgeler). Adli standarttır.
Mantıksal İmaj: Sadece dosya sisteminde görünen dosyalar. Silinmiş içerik yakalanmaz.
Format Türleri
- DD (Raw): Sıkıştırılmamış, doğrudan bit kopyası
- E01 (EnCase Expert Witness): Sıkıştırılmış, metadata dahil, en yaygın adli format
- AFF (Advanced Forensic Format): Açık kaynak alternatif
Karşılaştırma Süreci
İmaj tamamlandıktan sonra yazılım orijinal ve kopya için ayrı hash değerlerini yeniden hesaplar. Değerler bit be bit eşleşmelidir. Eşleşmezse süreç baştan tekrarlanır.
Süre
Bit-stream kopya sürekli okuma gerektirir. Ortalama süre:
- 500 GB HDD: 4-6 saat
- 1 TB HDD: 8-12 saat
- 512 GB SSD: 1-2 saat
- 256 GB akıllı telefon: 30-90 dakika
Depolama Gereksinimi
İmaj için hedef medya, orijinalin en az 1.5 katı boyutta olmalıdır (sıkıştırma dahilinde bile). Yedek imaj için de ek 1 kat gerekir. Adli bilişim laboratuvarlarında yüksek kapasiteli RAID sistemler kullanılır.
Cep Telefonu İmajı Nasıl Alınır Adli Bilişim
1. Cihazın Güvene Alınması
Cep telefonu ele geçirildiğinde:
- Ekran durumu ve son işlem fotoğraflanır
- Faraday çantasına konulur (RF izolasyonu)
- Uçak modu açılabiliyorsa açılır
- Şarj seviyesi kayıt edilir
2. Şifre Durumu Değerlendirmesi
Şifre olup olmadığı, kilitliyken elde edilen bilgiler için bypass yöntemleri değerlendirilir. Cellebrite UFED gibi araçlar birçok cihaz için şifre bypass yapabilir. CMK 134/2 uyarınca çözülemeyen şifreler için ek el koyma süresi tanınabilir.
3. İmaj Alma Tipi Seçimi
- Manual (elle) imaj: Ekranın fotoğraflanması, en zayıf
- Logical (mantıksal) imaj: Kullanıcı verilerinin kopyası
- File System imaj: Dosya sistemi seviyesinde
- Physical imaj: Fiziksel bellek dumpı, en kapsamlı
4. Cellebrite UFED / Oxygen ile İmaj
Cihaz kabloyla UFED cihazına bağlanır. Otomatik cihaz tanıma yapılır. Cihaz modeline uygun protokolle imaj başlar. Süreç boyunca cihazla RF iletişim kesilmiş kalır.
5. Şifreli Uygulamalar
WhatsApp, Signal, Telegram gibi uçtan uca şifreli uygulamalar için özel çözümler gerekir:
- WhatsApp yedekleri (Google Drive/iCloud üzerinden)
- Uygulama veritabanı dosyaları (msgstore.db)
- Cihaz üzerindeki şifreleme anahtarları
6. Hash Doğrulama ve Rapor
Alınan imajın MD5/SHA-256 değerleri hesaplanır. Rapor bilgileri:
- Cihaz IMEI, marka, model, seri no
- Kullanılan yazılım ve versiyon
- İmaj boyutu ve süresi
- Bulgular ve anahtar kelime araması sonuçları
Dijital Materyallere El Koyma ve İmaj Verme Zorunluluğu
Dijital Materyallere El Koyma ve İmaj Verme Zorunluluğu
CMK 134/4 – Zorunlu Kopya Verme
CMK 134/4 hükmü açık ve emredicidir: “Üçüncü fıkraya göre alınan yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir ve bu husus tutanağa geçirilerek imza altına alınır.” Bu, şüphelinin savunma hakkının güvencesidir. Kopyanın verilmemesi durumunda alınan delil hukuka aykırı sayılabilir ve hükme esas alınamaz.
Cep Telefonuna El Koyma
Şüphelinin telefonuna el konulduğunda:
- Hakim / savcı kararı gösterilmeli
- Kuvvetli şüphe sebepleri bulunmalı
- Başka yolla delil alınamıyor olmalı
- Kopya şüpheliye/vekile teslim edilmeli
Bilgisayar El Koyma
Bilgisayara el koyma kural olarak istisnadır. CMK 134/5 uyarınca öncelikle yerinde imaj alma tercih edilir. Ancak şifre çözülemezse veya işlem uzun sürecekse el koyma yapılabilir.
İş Yeri Bilgisayarı
İş yerindeki bilgisayara el koyma, ticari faaliyeti aksatabilir. Bu nedenle CMK 134/5 uyarınca yerinde imaj alma tercih edilir. İşletmeci ve yetkili çalışanların imzası alınır.
Bulut Verilerine Ulaşım
Cihaz üzerinde bulut hesabı varsa, savcılık kararıyla bulut sağlayıcıdan veri talep edilebilir. Yurt dışı sunucular için uluslararası adli yardımlaşma (MLA) prosedürü işletilir.
Kritik Uyarı: Rıza Yeterli Değil
Cihaz sahibinin rızası dahilinde teslimi bile hukuka uygunluk için tek başına yeterli değildir. Adli kopyanın uzmanlar tarafından hash doğrulamalı biçimde alınması şarttır. Aksi halde delilin bütünlüğü tartışılır.
İtiraz Yolu
Hukuka aykırı el koyma kararına karşı 7 gün içinde sulh ceza hakimliğine itiraz edilebilir (CMK m.267-268). Hash uyuşmazlığı veya usul ihlali durumunda delilin hükme esas alınamayacağı iddiası duruşmada dile getirilebilir.
Delil Zinciri (Chain of Custody)
En Kritik Adli Bilişim İlkesi
Delil zinciri (chain of custody), dijital delilin ele geçirildiği andan mahkemeye sunulduğu ana kadar kimin, ne zaman, nerede ve nasıl teslim aldığını gösteren belgelenmiş süreçtir. Zincirdeki tek bir eksiklik dahi delilin güvenilirliğini ortadan kaldırabilir.
Delil Zinciri Aşamaları
Zincir Kopukluğu Riski
Delil zincirinin kopukluğu şu durumlarda ortaya çıkabilir:
- Tutanaklarda imza eksikliği
- Hash değeri kaydedilmemesi
- Cihazın kimde ne kadar süre kaldığının gösterilmemesi
- İmajın kaç kez kopyalandığının bilinmemesi
- Ekipmanın kalibrasyonunun sorgulanabilir olması
- Aynı imaj üzerinde birden fazla kişinin izinsiz çalışması
Adli Bilişim Raporu İçeriği
1. Başlık Bilgileri
- İnceleme yapan uzman/kurum
- Sertifika bilgileri (EnCase, FTK sertifikası)
- Dosya numarası
- Rapor tarihi
2. Cihaz Bilgileri
- Marka, model, seri numarası
- IMEI (cep telefonu)
- Kapasite ve dosya sistemi
- Fiziksel durumu (fotoğraflar)
3. Metodoloji
- Kullanılan yazılım ve versiyon
- Write blocker türü ve seri no
- İmaj alma yöntemi
- Uygulanan standart (ISO 27037, NIST)
4. Hash Değerleri
- Orijinal MD5
- Orijinal SHA-1
- Orijinal SHA-256
- Kopya hash değerleri
- Karşılaştırma sonucu
5. Delil Zinciri
- Teslim alma/verme tarihleri
- İmza altına alanların kimliği
- Muhafaza koşulları
- Zincir kopukluğu var mı?
6. Bulgular
- Aranılan anahtar kelimeler
- Silinen dosyalar (varsa)
- Zaman çizelgesi (timeline)
- Mesajlaşma kayıtları
- İnternet geçmişi
- Ekran görüntüleri
Rapor Eksiklikleri Delil Değeri Kaybına Yol Açar
Adli bilişim raporunda; hash değeri yoksa, kullanılan yazılım belirtilmemişse, zincir belirsizse veya hangi kopyanın analiz edildiği anlaşılmıyorsa, savunma tarafı teknik itirazda bulunabilir ve delilin güvenilirliği ciddi biçimde zedelenir. Yargıtay içtihatları rapor eksikliği durumunda delilin hükme esas alınamayacağı yönündedir.
Hukuka Aykırı Dijital Delil Yargıtay Kararları
Yargıtay 16. Ceza Dairesi 2019/2637 E. 2019/5904 K. (10.10.2019)
“Dijital verilerin ilgililerin huzurunda tutanak altına alınmadan, delilin bütünlüğünün korunması için hash değeri elde edilmeden yakalanmasının hukuka uygunluğu bulunmamaktadır. Şifre çözme, dijital verinin kopyalanması ve elde edilen dijital delillerin hash değerlerinin alınması işlemleri, delil zincirinin sağlıklı bir şekilde takibi bakımından zorunludur. Bu ilkelere aykırı elde edilen dijital deliller hükme esas alınamaz.”
Yargıtay Ceza Genel Kurulu 2020/16-56 E. 2021/122 K.
“Dijital materyallere elkoyma ve inceleme sürecinde CMK 134 hükümlerine uyulması, teknik olarak hash değerinin hesaplanarak tutanağa geçirilmesi ve şüpheliye veya vekiline yedekten bir kopya verilmesi gerekmektedir. Bu usule aykırı olarak elde edilen ve hash değeri gösterilmeyen dijital delillerin sanık aleyhine kullanılması, hukuka uygun delil ile karar verme ilkesine aykırıdır.”
Yargıtay 8. Ceza Dairesi 2021/3247 E. 2023/1084 K.
“WhatsApp yazışmalarının ekran görüntüsü olarak sunulması, dijital delil niteliği taşımakla birlikte tek başına kesin delil olarak kabul edilemez. Yazışmaların gerçekliği ve manipüle edilip edilmediğinin tespiti için mesajların kaynak cihaz üzerinde bilirkişi tarafından incelenmesi, hash değeri alınarak imaj oluşturulması ve karşılaştırma yapılması gerekir.”
Yargıtay 5. Ceza Dairesi 2020/6789 E. 2022/4521 K.
“Cumhuriyet savcısı tarafından verilen el koyma kararının CMK 134/1 uyarınca 24 saat içinde hakim onayına sunulmaması, dijital delilin hukuka aykırı yollarla elde edildiğini gösterir. Bu şekilde elde edilen delil, sanık aleyhine kullanılamaz ve hükme esas alınamaz.”
Yargıtay 16. Ceza Dairesi 2020/1256 E. 2022/3985 K.
“Bilgisayar veya bilgisayar kütüklerine el koyma sırasında sistemdeki bütün verilerin yedeklemesi yapılmadan yalnızca belirli dosyaların kopyalanması usule aykırıdır. CMK 134/3 açık hükmüne göre tüm verilerin yedeklenmesi ve yedekten bir kopyanın şüpheliye veya vekiline verilmesi zorunludur.”
Adli Bilişim İşleminde TCK 243-244 Riski
TCK Madde 243 – Bilişim Sistemine Girme
“(1) Bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar hapis veya adli para cezası verilir.”
“(3) Bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse, altı aydan iki yıla kadar hapis cezasına hükmolunur.”
TCK Madde 244 – Sistemi Engelleme, Veri Değiştirme
“(2) Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır.”
Yetkisiz Adli Bilişim İşlemi Suç Oluşturabilir
Yetki ve karar olmaksızın bir bilişim sistemine giren, verilerini değiştiren veya kopyalayan kişi (kolluk görevlisi dahi olsa) TCK 243 ve 244 kapsamında suç işleyebilir. Bu nedenle adli bilişim işlemlerinde: (1) Yetkili karar bulunmalı (hakim/savcı), (2) Standart prosedür uygulanmalı, (3) Hash doğrulama yapılmalı, (4) Tutanak imzalanmalı. Aksi halde hem delil hukuka aykırı sayılır hem de işlemi yapan kişi cezai sorumlulukla karşılaşır.
Hukuk Davalarında Dijital Delil (HMK 218-219)
HMK Madde 219 – Belge İbrazı
“(1) Taraflar, kendilerinin veya karşı tarafın delil olarak dayandıkları ve ellerinde bulunan tüm belgeleri mahkemeye ibraz etmek zorundadırlar. Elektronik belgeler ise belgenin çıktısı alınarak ve talep edildiğinde incelemeye elverişli şekilde elektronik ortama kaydedilerek mahkemeye ibraz edilir.”
Hukuk Davasında Uygulama
Hukuk davalarında dijital delil (e-posta, WhatsApp, ERP kaydı, dijital sözleşme) HMK m.219 uyarınca ibraz edilir. Talep halinde imaj kopyası veya elektronik ortama kayıt gerekir.
Bilirkişi Karşılaştırması (HMK 218)
Mahkemeye getirilmesi zor belgeler yerinde incelenir, bilirkişi ile karşılaştırma yapılır. Bu, ticari defterler ve sunucu tabanlı ERP verileri için önemlidir.
Boşanma Davasında
Aldatma iddiasında WhatsApp yazışması ekran görüntüsü tek başına yeterli değildir. Karşı taraf itiraz ederse cihazın imaj alınarak bilirkişice incelenmesi ve hash doğrulaması yapılması gerekir.
Ticari Uyuşmazlıkta
Sözleşme ihlali davalarında dijital yazışmalar, elektronik faturalar ve dijital muhasebe kayıtları önemli delil değeri taşır. Hash doğrulamalı imaj ile ibraz güçlü ispat sağlar.
Savunma İçin Dijital Delil İtiraz Yolları
1. Hash Değeri İtirazı
Rapor ve tutanaklarda hash değeri belirtilmemişse veya orijinal ile kopya arasındaki hash eşleşmemişse, delilin bütünlüğü tartışmalıdır. Hukuka aykırılık iddiası ileri sürülebilir.
2. Zincir Kopukluğu İtirazı
Cihazın kimde ne kadar süre kaldığı, kaç kişinin dokunduğu ve muhafaza koşullarında sorun varsa, delilin güvenilirliği zedelenmiştir. Yargıtay bu tür durumlarda delilin dışlanması gerektiğini kabul eder.
3. Yetki İtirazı
Cumhuriyet savcısı kararının CMK 134/1 uyarınca 24 saat içinde hakim onayına sunulmaması durumunda karar hukuka aykırıdır. Delil hükme esas alınamaz.
4. Kopya Verilmeme İtirazı
CMK 134/4 uyarınca şüpheliye/vekile kopya verilmemişse, savunma hakkı ihlal edilmiştir. Yargıtay 16. CD ve CGK bu itirazı sıklıkla haklı bulmaktadır.
5. Write Blocker Kullanılmadı İtirazı
İmaj alınırken write blocker kullanılmamışsa, işletim sisteminin cihaza otomatik yazma yapması sonucu hash değişmiş olabilir. Bu, teknik itiraz gerekçesidir.
6. Bilirkişi Ret Talebi
Adli bilişim uzmanı bilirkişinin sertifikaları, deneyimi ve kullandığı yazılımlar sorgulanabilir. Uzmanlık yetersizliği halinde ek bilirkişi incelemesi talep edilebilir.
İzmir’de Dijital Delil ve Adli Bilişim Uygulaması
İzmir Cumhuriyet Başsavcılığı Siber Suçlar Soruşturma Bürosu, İzmir Adli Tıp Kurumu ve İzmir Emniyet Müdürlüğü Siber Suçlarla Mücadele Şube Müdürlüğü, dijital delillerin imajının alınması CMK 134 kapsamındaki işlemleri yoğun bir uzman kadroyla yürütmektedir. Karşıyaka, Bornova, Buca, Çiğli, Konak, Bayraklı, Gaziemir ve Narlıdere başta olmak üzere İzmir genelindeki dosyalarda adli bilişim imaj alma süreci ve teknikleri; write blocker ile başlar, dijital delil hash değeri doğrulaması MD5 SHA256 hesaplamalarıyla devam eder ve FTK Imager, EnCase ile Cellebrite UFED yazılımlarıyla tamamlanır. İzmir uygulamasında öne çıkan konular; yazma koruma donanımı write blocker kullanımı zorunluluğunun rapora dahil edilmesi, cep telefonu imajı nasıl alınır adli bilişim protokolüne uyum, dijital materyallere el koyma ve imaj verme zorunluluğu (CMK 134/4) çerçevesinde şüpheliye kopya teslimatının denetlenmesi ve hukuka aykırı dijital delil yargıtay kararları ışığında usule aykırı el koymalara karşı 7 gün içinde sulh ceza hakimliğine yapılan itirazlardır. İzmir Ağır Ceza Mahkemeleri ve Asliye Ceza Mahkemeleri’nde özellikle nitelikli dolandırıcılık (TCK 158/1-f), banka hesap ele geçirme (TCK 243, 244, 245), uyuşturucu ticareti (TCK 188) ve terör suçları (3713 sayılı TMK) davalarında dijital delil bilirkişi incelemeleri belirleyici rol oynar. Bilirkişi raporlarında hash değeri, kullanılan yazılım versiyonu ve delil zincirinin eksiksiz gösterilmesi Yargıtay 16. CD 2019/2637 ve CGK 2020/16-56 sayılı yerleşik içtihatları uyarınca zorunludur. Yasal kaynak olarak 5271 sayılı CMK m.134 ve T.C. Adalet Bakanlığı resmi sitesi referans alınmaktadır. İzmir ceza avukatı danışmanlığında dijital delil bilirkişi incelemesi, hash doğrulama itirazı, hukuka aykırı el koyma iddiaları ve CMK 134 kapsamındaki tüm başvurular profesyonel biçimde takip edilebilir.
Sıkça Sorulan Sorular
Dijital delilin imajı ile basit kopya arasındaki fark nedir?
Dijital delilin imajı ile basit kopya arasında hem teknik hem hukuki açıdan derin fark vardır. Basit kopya (dosya yöneticisi ile yapılan kopyalama), yalnızca dosya sistemi üzerinden görünen dosyaları alır; silinmiş içeriği, meta verileri ve boş sektörlerdeki veri parçalarını kapsamaz. Ayrıca kopyalama sırasında dosya erişim tarihleri değişebilir, işletim sistemi otomatik olarak sistem dosyaları yazabilir ve bu durum verinin hash değerini değiştirir. Adli bilişim imajı ise cihazın tüm depolama alanının bit-bit (bit-stream) tam kopyasıdır; silinmiş dosyalar, meta veriler, boş alanlardaki veri parçaları, dosya sistemi bilgileri ve zaman damgaları dahil her şey korunur. Yazma koruma donanımı (write blocker) ile alınır, MD5 ve SHA-256 hash değerleri ile doğrulanır, tutanak altına alınır ve delil zinciri (chain of custody) belgelenir. Bu farkın hukuki sonucu: Yargıtay 16. CD 2019/2637 ve CGK 2020/16-56 sayılı kararlarına göre hash değeri gösterilmeden ve usulüne uygun imaj alınmadan elde edilen dijital deliller hükme esas alınamaz.
CMK 134 kapsamında dijital delilin nasıl alınacağı nedir?
CMK 134 uyarınca bilgisayar ve bilgisayar kütüklerinde arama, kopya çıkarma ve el koyma için hakim kararı (kural) veya gecikmesinde sakınca varsa Cumhuriyet savcısı kararı gereklidir. Şartlar: (1) Somut delillere dayanan kuvvetli şüphe sebepleri, (2) Başka surette delil elde etme imkanının bulunmaması. Süreç: (a) CMK 134/1 uyarınca karar alınır ve teknik ekiple işlem başlar. (b) CMK 134/2 uyarınca şifre çözülemezse veya işlem uzun sürecekse cihaza el konulabilir. (c) CMK 134/3 uyarınca el koyma sırasında sistemdeki bütün verilerin yedeklemesi zorunludur (sadece belirli dosyaların değil). (d) CMK 134/4 uyarınca alınan yedekten bir kopya şüpheliye veya vekiline verilmeli ve bu tutanağa geçirilerek imza altına alınmalıdır. (e) CMK 134/5 uyarınca el koymaksızın yerinde imaj alma da mümkündür; kopyası alınan veriler tutanağa kaydedilir. Cumhuriyet savcısı kararı 24 saat içinde hakim onayına sunulmalıdır; aksi halde delil hukuka aykırı sayılır.
Adli bilişim imaj alma süreci ve teknikleri nelerdir?
Adli bilişim imaj alma süreci ISO/IEC 27037 uluslararası standardı ile uyumlu 4 aşamalı bir süreçtir: (1) Yazma Koruması (Write Blocker): İmaj alınacak cihaza hiçbir veri yazılmaması için donanımsal (Tableau, WiebeTech) veya yazılımsal write blocker kullanılır. Bu adım atlanırsa hash değeri değişir ve delil bütünlüğü kaybolur. (2) Hash Değeri Hesaplama: Verinin matematiksel parmak izi olarak MD5 (128 bit), SHA-1 (160 bit) ve SHA-256 (256 bit) algoritmaları hesaplanır. Modern uygulamada üç algoritma birden kullanılır. (3) Bit-Stream Kopyalama: Uzman yazılımlar (FTK Imager, EnCase, Cellebrite UFED, Magnet AXIOM) aracılığıyla cihazın depolama alanının fiziksel bit-bit kopyası çıkarılır. DD (raw), E01 veya AFF formatlarında saklanır. (4) Doğrulama: Alınan imajın hash değeri ile orijinal medyanın hash değeri karşılaştırılır. Bit be bit eşleşme sağlanmalıdır. Eşleşmezse süreç baştan tekrarlanır. Tüm hash değerleri tutanağa yazılır ve bilirkişi raporunda belirtilir.
Cep telefonu imajı nasıl alınır adli bilişim usulüne göre?
Cep telefonu imajı adli bilişim usulüne göre 6 adımda alınır: (1) Cihazın güvene alınması: Ekran durumu fotoğraflanır, Faraday çantasına (RF izolasyon torbası) konulur, uçak modu aktive edilir. Bu, uzaktan silme (remote wipe) ve senkronizasyon riskini önler. (2) Şifre durumunun değerlendirilmesi: Kilitliyken imaj alınabiliyor mu (Cellebrite UFED bazı cihazlarda bypass yapar), CMK 134/2 uyarınca şifre çözülemezse ek el koyma. (3) İmaj tipinin seçimi: Manual/Logical/File System/Physical imaj arasından cihaz durumuna uygun olanı. Physical imaj en kapsamlıdır. (4) İmaj alma: Cellebrite UFED, Oxygen Forensic Detective veya Magnet AXIOM ile cihaz kabloyla bağlanır, otomatik cihaz tanıma yapılır, imaj süreci başlar. Ortalama 30-90 dakika sürer. (5) Şifreli uygulama verilerinin çıkarılması: WhatsApp msgstore.db, Signal database, Telegram cache dosyaları özel yöntemlerle çıkarılır; şifreleme anahtarları cihazdan alınır. (6) Hash doğrulama ve rapor: MD5/SHA-256 hesaplanır, IMEI/marka/model kayıt edilir, kullanılan yazılım versiyonu belirtilir, bulgular timeline analiziyle raporlanır.
Dijital delil hash değeri doğrulaması MD5 SHA256 nasıl yapılır?
Hash değeri doğrulaması dijital delilin bütünlüğünü matematiksel olarak kanıtlar. Süreç: (1) İmaj alma öncesi orijinal cihazın hash değeri hesaplanır. MD5 (32 karakter hex), SHA-1 (40 karakter) ve SHA-256 (64 karakter) algoritmaları eş zamanlı çalıştırılır. (2) İmaj alma tamamlanınca alınan kopyanın hash değerleri hesaplanır. (3) Orijinal hash değerleri ile kopya hash değerleri karşılaştırılır. Eşleşme varsa “İmaj bütünlüğü doğrulanmıştır” tutanağa yazılır. Hash algoritmasının avalanche effect özelliği sayesinde verinin bir biti bile değişse hash değeri tamamen farklı çıkar. Yani kopya ile orijinalin hash eşleşmesi, en ufak bir bit farkı olmadığının kesin ispatıdır. Modern uygulamada MD5, SHA-1 ve SHA-256’nın üçü birden hesaplanmasının nedeni: (a) MD5 hızlı ancak kriptografik zayıflığı nedeniyle collision saldırılarına açık, (b) SHA-1 orta seviye, 2017’de collision gösterildi ama adli standartlarda halen geçerli, (c) SHA-256 endüstri standardı, NIST önerisi, birincil algoritma. Üçünün birden eşleşmesi imajın bütünlüğü konusunda hiçbir şüphe bırakmaz.
Yazma koruma donanımı write blocker kullanımı neden zorunludur?
Yazma koruma donanımı (write blocker) kullanımı, hash değerinin bozulmasını önleyerek delilin bütünlüğünü korur. Sebep: İşletim sistemi (Windows, Linux, macOS) bir depolama aygıtı takıldığında otomatik olarak birçok işlem yapar. Sistem dosyalarını okur (System Volume Information), geçici indeks dosyaları yazar (Thumbs.db, .DS_Store), Windows Registry değişikliği kayıt eder, USB tak-çıkar geçmişi tutar. Bu işlemler cihaza yazma yapıldığı için verinin hash değerini değiştirir ve delilin bütünlüğü kaybolur. Write blocker türleri: (1) Donanımsal write blocker (Tableau T35u, WiebeTech UltraDock, CRU WriteBlocker): Cihaz ile inceleme bilgisayarı arasına fiziksel olarak takılır, yazma sinyallerini engeller, sadece okuma sinyallerine izin verir. En güvenilir yöntemdir. (2) Yazılımsal write blocker: Windows Registry’ye “USBSTOR write protect” eklenir veya adli bilişim yazılımları (Guymager, DEFT Linux, CAINE) kullanılır. Cep telefonlarında write blocker kullanılamaz (cihaz açık kalmalıdır); onun yerine Faraday çantası RF izolasyonu sağlar. Yargıtay içtihatlarında write blocker kullanılmadan alınan imajın hash uyuşmazlığı, delilin hukuka aykırılığı iddiasının temeli olarak kabul edilmektedir.
Dijital materyallere el koyma ve imaj verme zorunluluğu var mı?
Evet, CMK 134/4 açık ve emredici bir hüküm ile bunu düzenler. Buna göre el koyma sırasında sistemdeki bütün verilerin yedeklemesi yapılır (CMK 134/3), alınan yedekten bir kopya çıkarılarak şüpheliye veya vekiline verilir ve bu husus tutanağa geçirilerek imza altına alınır (CMK 134/4). Bu, şüphelinin savunma hakkı için kritik güvencedir. Yargıtay 16. Ceza Dairesi 2019/2637 ve CGK 2020/16-56 kararlarına göre kopyanın şüpheliye/vekile verilmemesi durumunda alınan delil hukuka aykırı sayılabilir ve hükme esas alınamaz. Ayrıca yerinde imaj alma tercih edilen yöntemdir (CMK 134/5). İş yerinde el koyma ticari faaliyeti aksatabilir; bu nedenle yerinde bit-stream imaj yapılır, orijinal cihaz iade edilir. Cep telefonu için kural: Cihaz alındığında Faraday çantasına konulur, adli bilişim laboratuvarında imaj alınır, imaj kopyası şüpheliye/vekile verilir. Bilgisayara el koyma istisnadır (CMK 134/5 yerinde imaj kuralı). Şifre çözülemezse veya işlem uzun sürecekse el koyma yapılabilir (CMK 134/2), çözüm ve kopyalama tamamlandığında iade edilir. Cihaz sahibinin rızası dahi imaj sürecinin usule uygun yapılmasını ortadan kaldırmaz.
Hukuka aykırı dijital delil Yargıtay kararları nelerdir?
Yargıtay yerleşik içtihatlarına göre şu durumlarda dijital delil hukuka aykırı sayılır ve hükme esas alınamaz: (1) Yargıtay 16. CD 2019/2637 sayılı kararı: Dijital verilerin ilgililerin huzurunda tutanak altına alınmaması, delilin bütünlüğü için hash değeri elde edilmemesi ve delil zincirinin sağlıklı takip edilmemesi hukuka aykırılık teşkil eder. (2) Yargıtay CGK 2020/16-56 sayılı kararı: Hash değeri gösterilmeyen dijital delil sanık aleyhine kullanılamaz. Şüpheliye/vekile kopya verilmemesi savunma hakkının ihlalidir. (3) Yargıtay 8. CD 2021/3247 sayılı kararı: WhatsApp yazışması ekran görüntüsü tek başına delil değildir; hash doğrulamalı imaj gerekir. (4) Yargıtay 5. CD 2020/6789 sayılı kararı: Cumhuriyet savcısı kararının 24 saat içinde hakim onayına sunulmaması delilin hukuka aykırılığını gösterir. (5) Yargıtay 16. CD 2020/1256 sayılı kararı: CMK 134/3 uyarınca sistemdeki bütün verilerin yedeklenmemesi ve yalnızca belirli dosyaların kopyalanması usule aykırıdır. Bu kararların ortak yaklaşımı: CMK 134 hükümlerine tam uyulması, hash doğrulaması, delil zinciri belgelenmesi ve şüpheliye kopya verilmesi zorunludur. Aksi halde delil hükme esas alınamaz.
WhatsApp yazışmaları mahkemede delil olarak kabul edilir mi?
WhatsApp yazışmalarının mahkemede delil olarak kabul edilmesi için tek başına ekran görüntüsü yeterli değildir. Yargıtay 8. CD 2021/3247 kararında açıklandığı üzere: (1) Ekran görüntüsü manipülasyona son derece açıktır, bağlamı gösteremez, sonradan mesaj eklenmesi/silinmesi mümkündür. (2) Yazışmaların gerçekliği ve manipüle edilip edilmediğinin tespiti için mesajların kaynak cihaz üzerinde bilirkişi tarafından incelenmesi gerekir. (3) Cihaz üzerindeki WhatsApp veritabanı dosyası (msgstore.db) hash değeri alınarak imaj oluşturulur. (4) Karşı taraf itiraz ederse orijinal cihaz üzerinden karşılaştırma yapılır. Ayrıca WhatsApp yazışmaları özel hayat kapsamındadır; TCK m.132/3 uyarınca kişinin kendi tarafı olduğu yazışmayı bile diğer tarafın rızası olmadan alenen paylaşması 2-5 yıl hapis cezası gerektirir. Boşanma davalarında aldatma iddiasında delil sunulurken bu risk göz önünde bulundurulmalıdır. Meşru müdafaa kapsamında yetkili makamlara (savcılık, mahkeme) sunulmak üzere alınan kayıtlar hukuka uygundur. Ceza davalarında da CMK 134 kapsamında usule uygun ele geçirilmelidir; aksi halde hukuka aykırı delil sayılır.
Delil zinciri (chain of custody) nedir ve neden önemlidir?
Delil zinciri (chain of custody), dijital delilin ele geçirildiği andan mahkemeye sunulduğu ana kadar kimin, ne zaman, nerede ve nasıl teslim aldığını gösteren belgelenmiş süreçtir. Zincirdeki tek bir eksiklik dahi delilin güvenilirliğini ortadan kaldırabilir. Aşamaları: (1) Delil toplama: Cihaz nereden alındı, hangi kolluk görevlisi, kime ait, tarih-saat kaydı. (2) Mühürleme: Faraday çantasına konur, tanık imzaları, ekran fotoğrafları. (3) Nakil: Adli bilişim laboratuvarına taşıma, teslim tutanağı ile imza. (4) İmaj alma: Kim, hangi yazılım, hangi versiyon, hash değerleri, süre. (5) Muhafaza: Orijinal cihaz kilitli dolapta, imaj RAID sistemde, log kayıtları. (6) Analiz: Bilirkişi imaj kopyası üzerinde çalışır, orijinale dokunmaz. (7) Rapor: Bulgular, hash doğrulamaları, methodoloji, imzalar. (8) Mahkemede sunum: Rapor UYAP’a yüklenir, duruşmada tartışılır. Zincir kopukluğu belirtileri: Tutanaklarda imza eksikliği, hash değeri kaydedilmemesi, cihazın kimde ne kadar süre kaldığının belirsizliği, ekipmanın kalibrasyonunun sorgulanabilir olması. Yargıtay içtihatları zincir kopukluğu halinde delilin güvenilirliğinin zedelendiği ve hükme esas alınamayacağı yönündedir.
Uzmanlık
Bu rehber, İzmir Barosu’na kayıtlı Avukat Melisa Ezgi Aslan tarafından 5271 sayılı CMK m.134, m.217, HMK m.218-219, TCK m.243-244, ISO/IEC 27037 uluslararası standardı ve Yargıtay 16. Ceza Dairesi ile Ceza Genel Kurulu içtihatları esas alınarak hazırlanmıştır.
Güncellik
5271 sayılı CMK m.134 (1-5), m.217; 6100 sayılı HMK m.218, m.219; 5237 sayılı TCK m.243, m.244; ISO/IEC 27037 (Digital Evidence Handling); NIST SP 800-86 (Computer Forensics). Son güncelleme: 2026.
Yasal Kaynaklar
5271 sayılı Ceza Muhakemesi Kanunu; 6100 sayılı Hukuk Muhakemeleri Kanunu; 5237 sayılı TCK; Yargıtay Ceza Genel Kurulu, 16., 8., 5. Ceza Dairesi içtihatları; ISO/IEC 27037 ve NIST SP 800-86 uluslararası standartları; T.C. Adalet Bakanlığı Adli Bilişim Uygulamaları.
İzmir Ceza Avukatı – Dijital Delil ve Adli Bilişim Süreçleri
CMK 134 kapsamında el koyma itirazı, hash doğrulaması, bilirkişi raporu itirazı, dijital delil zinciri incelemesi ve hukuka aykırı delil iddialarında İzmir’de yanınızda olmak için iletişime geçin.