Bilirkişiyi mahkeme veya savcılık atar (HMK m.266; CMK m.63). Taraf bilirkişi seçemez ve tutamaz; atanmasını, rapor hakkında açıklama, ek rapor ya da yeni bilirkişi istenmesini talep edebilir. Tarafın elindeki teknik araç, kendi seçtiği uzmandan alacağı görüştür: CMK m.67/6 bilimsel mütalaanın "bilirkişi raporu hakkında" da alınabileceğini açıkça söyler, hukuk yargılamasındaki karşılığı HMK m.293'teki uzman görüşüdür. "Karşı bilirkişi raporu" diye aranan belge hukuken budur. md9 bilirkişi değildir; dosyadaki raporun teknik dayanağını inceleriz. HTS, baz, IP ve CGNAT, log, bilgisayar ve telefon imajı ya da yazılım incelemesine dayanan raporlar bu kapsamdadır.
Değerlendirmede neye bakıyoruz?
Her bilirkişi raporunu dört soruyla okuruz. Sıra önemlidir: ilk soru cevaplanamıyorsa sonrakiler zayıf bir zemine oturur.
- Rapor hangi veriye dayanıyor? İncelenen cihazın ya da dosyanın kimliği, kopyası ve özet değeri (hash) yazılmış mı; tutanaktaki değerle aynı mı?
- Veri doğru okunmuş mu? Saat referansı, alanların anlamı, birimler, mükerrer satırlar.
- Sonuç veriden çıkıyor mu? Her kesin ifadenin arkasında bir kayıt var mı; aynı kaydı açıklayabilecek başka ihtimaller tartışılmış mı?
- Sorular cevaplanmış mı? Görevlendirme kararındaki soruların (HMK m.273) hepsi cevaplanmış mı, cevaplar teknik sınırda kalmış mı? Bilirkişi hukuki nitelendirme yapamaz (HMK m.279/4; CMK m.67/3; 6754 sayılı Kanun m.3/2). Raporda "suç oluşmuştur" gibi bir ifade görürsek avukatınıza not olarak iletiriz; hukuki sonucunu o değerlendirir.
Bilişim bilirkişi raporlarında sık gördüğümüz teknik hatalar
En sık karşılaştığımız altı hata. Hiçbiri raporu kendiliğinden geçersiz kılmaz; bulgunun neyi gösterebildiğini değiştirir.
1. Hash değeri yok ya da karşılaştırılmamış
Raporda incelenen kopyanın özet değeri yoksa, bulgunun el konulan veriden mi yoksa sonradan değişmiş bir kopyadan mı çıktığı doğrulanamaz. Yargıtay 8. Ceza Dairesi, usulünce imaj alınıp veri bütünlük (hash) değerlerinin tespit edilmemesini beraat gerekçeleri arasında saymıştır (E.2012/21817, K.2013/25428). Kanun "hash" kelimesini kullanmaz; el koymada sistemdeki bütün verilerin yedeklenmesini ve yedeğin bir kopyasının şüpheliye veya vekiline verilmesini öngörür (CMK m.134/3-4). 4. Ceza Dairesi, inceleme ve imaj kararı bulunmayan, yedeğin verildiğine dair tutanağı da olmayan bir dosyada delil değerlendirme yasağı gerekçesiyle mahkûmiyeti bozmuştur (E.2021/16706, K.2021/23109).
Elimize gelen kopyanın SHA-256 değerini hesaplayıp tutanaktaki değerle karşılaştırırız. Tutanakta yalnızca MD5 veya SHA-1 varsa aynı algoritmayla da hesaplarız; eski bir algoritma değeri kendiliğinden geçersiz kılmaz. Ayrıntı: hash değeri ve delil bütünlüğü.
CMK m.134, Anayasa Mahkemesi'nin 12.02.2026 tarihli, E.2023/128, K.2026/36 sayılı kararıyla iptal edilmiştir (RG 25.05.2026). İptal 25.02.2027'de yürürlüğe girecektir; yerine gelecek yasal düzenleme takip edilmelidir.
2. Saat referansı belirtilmemiş
Operatör dökümleri çoğunlukla yerel saatle gelir; bilgisayar ve telefon imajlarındaki zamanların önemli bir kısmı UTC'dir (NTFS zamanları diskte UTC, FAT zamanları yerel saat olarak tutulur). İki kaynak karşılaştırılırken dönüşüm yazılmamışsa üç saatlik bir kayma olayların sırasını değiştirebilir. Yargıtay kararlarına yansıyan bilirkişi raporlarında cihaz inceleme zamanlarının kimi zaman "(UTC+0)", kimi zaman "(UTC+3)" etiketiyle verildiği görülür (ör. 3. CD, E.2022/23625, K.2023/1519). Türkiye Eylül 2016'dan beri sürekli UTC+3'tür; daha eski kayıtlarda yaz ve kış saati de hesaba katılır. Örneğin 25 Ekim ile 8 Kasım 2015 arasında birçok cihazın saati resmî saatten bir saat geride kalmıştır (IANA tz, Europe/Istanbul). Dönüşümleri zaman damgası dönüştürücüyle kontrol edebilirsiniz.
3. Baz istasyonu kaydı konum gibi okunmuş
HTS'deki hücre bilgisi telefonun hizmet aldığı hücreyi gösterir, bulunduğu noktayı göstermez. Hücre analizi cihazın yerini nokta olarak belirleyemez; kırsalda yüksek bir kuleye kurulu makro hücre 10–20 km uzağa hizmet verebilir (FSR-C-135 §11.1.4, §11.1.5). Yargıtay baz sinyalini tek başına yeterli görmemiş (2. CD, E.2019/14274, K.2020/2085), kalabalık yerlerde aynı anda çok sayıda telefonun aynı bazdan sinyal verebileceğini ve aynı kapsama alanında görünmenin buluşma anlamına gelmediğini belirtmiştir (Ceza Genel Kurulu, E.2013/5-247, K.2015/60). Bir başka sık hata, karşı numaranın hücre bilgisinin incelenen hatta aitmiş gibi okunmasıdır (FSR-C-135 §10.4.4). Yöntemin ayrıntısı: baz istasyonu analizi.
4. IP adresi kişiye bağlanmış
IP adresi bağlantıyı gösterir, bilgisayarın başındaki kişiyi göstermez. CGNAT arkasında aynı adresi aynı anda çok sayıda abone paylaşır; aboneye inmek için kaynak port ve saniye hassasiyetinde, tercihen UTC zaman gerekir (RFC 6302). Yargıtay 17. Ceza Dairesi, suç tarihine ait CGNAT verileri getirtilip IP'nin sanık tarafından kullanıldığı kesin ve somut verilerle belirlenmeden kurulan mahkûmiyeti bozmuştur (E.2018/5732, K.2019/7785). 15. Ceza Dairesi de aynı IP'nin farklı zamanlarda farklı kullanıcılara verilebileceğinin dikkate alınmasını istemiştir (E.2014/8947, K.2017/44). Aboneye inilse bile abone ile kullanıcı farklı olabilir; eşleştirme yöntemi IP ve CGNAT analizi sayfasında.
Baz ve IP hatalarında raporun yazdığı ile verinin taşıyabildiği arasındaki fark çoğu zaman tek bir cümledir:
| Raporda yazan | Verinin taşıyabildiği ifade |
|---|---|
| "Sanık olay saatinde olay yerindeydi." | "Hattın kullanıldığı cihaz, olay saatinde kapsama alanı olay yerini de içeren bir hücreden hizmet almıştır." |
| "İki hat aynı bazdan sinyal verdiğine göre sanıklar birlikteydi." | "İki hat aynı zaman aralığında aynı hücreden hizmet almıştır; bu, aynı yerde bulunduklarını tek başına göstermez." |
| "203.0.113.25 IP adresi sanığa aittir." | "203.0.113.25 adresi, kayıttaki kaynak port ve saniye hassasiyetli zamanla birlikte X aboneliğine tahsisli görünmektedir; aboneliği kimin kullandığı bu kayıttan belirlenemez." |
5. Yöntem ve yazılım yazılmamış
"Yapılan incelemede…" diye başlayıp hangi yazılımın, hangi sürümün, hangi ayarla kullanıldığını söylemeyen bir rapor tekrarlanamaz. Dijital delilde ölçüt, bağımsız bir üçüncü kişinin aynı işlemleri uygulayıp aynı sonuca ulaşabilmesidir (ACPO, 3. ilke). Adli yazılımın ürettiği özet raporu, ham veriye inmeden bulgu diye aktarmak da bu başlığa girer; iki araç aynı veri tabanını farklı okuyabilir. Artefaktların fazla yorumlanması da buradan doğar: Windows'taki Amcache kaydı bir programın sistemde bulunduğunu gösterir, çalıştırıldığını tek başına göstermez (ANSSI, 2019).
6. Ekran görüntüsüne dayanılmış
Ekran görüntüsü sayfanın ya da uygulamanın ekrandaki hâlidir. URL'yi, hesabın sayısal kimliğini, sunucu yanıtını ve kaydın kendi zaman bilgisini taşımaz, kolayca üretilebilir. Raporun bir ekran görüntüsünden yola çıktığını görürsek, aynı içeriğin cihazdaki veri tabanında, platformdan dışa aktarılmış veride ya da sunucu kaydında bulunup bulunmadığını sorarız. Ayrıntı: ekran görüntüsü delil olur mu?
Kontrol listesinin geri kalanı
| Kontrol noktası | Tipik sorun |
|---|---|
| Satır sayımı | Erişim sağlayıcı trafik kayıtlarında aynı oturumun başlangıç, ara ve bitiş satırları ayrı gelebilir; satır saymak bağlantı saymak değildir. İki hattın HTS'si birleştirildiğinde aynı görüşme iki kez görünebilir. |
| IMEI karşılaştırması | Şebeke kaydında IMEI'nin son hanesi 0 görünebilir (3GPP TS 23.003); cihaz kutusundaki numarayla ilk 14 hane karşılaştırılmalıdır. |
| Silinmiş veri | SSD'de TRIM ve diskin kendi çöp toplama işlemi nedeniyle silinmiş bir dosyanın bulunamaması, hiç var olmadığını göstermez. |
| "Uyumludur" ifadesi | Alternatif açıklamalar tartışılmadan kullanılan "uyumlu" nitelemesinin çoğu zaman ispat değeri yoktur (FSR-C-135, Sözlük). |
| Teslim ve mühür | Materyalin hangi listeyle, mühürle ve tutanakla teslim edildiğinin raporda yer almaması (HMK m.273/2; CMK m.66/7). |
Karşı teknik değerlendirme: bulguyu ham veriden yeniden üretmek
Raporun dayandığı ham veri elimizdeyse bilirkişinin tablosunu okumakla kalmayız; aynı veriden aynı tabloyu kendimiz üretir (HTS için yöntem: HTS analizi), iki sonucu satır satır karşılaştırırız. Fark çıkarsa nedenini ararız: filtre, saat dönüşümü, mükerrer satır, yanlış eşleştirilmiş hücre kodu.
Örnek (kurgusal): Raporda "0 5xx xxx xx xx numaralı hat 14.03.2026 saat 21:42'de olay yerindeki baz istasyonundan sinyal vermiştir" yazıyor. Ham dökümde bu satır 18:42 olarak duruyor. Bilirkişi dökümü UTC kabul edip üç saat eklemiş; oysa operatörün üst yazısı saatlerin yerel saat olduğunu belirtiyor. Yerel saatle 21:42'ye en yakın satır ise başka bir hücreye ait.
Böyle bir farkı satır numarasıyla gösterir, sonuca etkisini ayrıca yazarız. Yeniden üretim bilirkişinin bulgusunu doğrularsa bunu da aynı açıklıkla, rapordan önce bildiririz; raporu dosyaya sunup sunmamak sizin ve avukatınızın kararıdır.
İtiraza esas teknik tespit mi, uzman görüşü mü?
İtirazı avukat hazırlar; bizim işimiz, itirazın teknik kısmının dayanacağı tespitleri çıkarmaktır. Dosyanın ihtiyacına göre şu çıktılardan biri ya da birkaçı hazırlanır:
| Çıktı | Kime | İçerik |
|---|---|---|
| Teknik tespit notu | Avukatınıza; dosyaya sunulmak üzere yazılmaz | Rapordaki hataların sayfa ve paragraf numarasıyla listesi, her birinin neden önemli olduğu, ham verideki karşılığı |
| Ek rapor için teknik sorular | Avukatınıza, talebine eklemek üzere | Bilirkişinin cevaplaması istenen net sorular: "Hangi saat dilimi esas alınmıştır?", "İncelenen kopyanın SHA-256 değeri nedir?" |
| Uzman görüşü (HMK m.293) veya bilimsel mütalaa (CMK m.67/6) | Avukatınız aracılığıyla dosyaya | Materyal, yöntem, bulgular, sınırlılıklar; imzalı. Uzmanın duruşmada dinlenmesi istenebilir (HMK m.293/2; CMK m.68/3). |
Bilirkişiler için yayımlanan rehber ilkeler, istenirse dosyaya sunulan uzman görüşlerinin bilirkişi tarafından özel ve teknik bilgi yönünden değerlendirilip tartışılmasını öngörür (İlke 19). Dosyada hiç ele alınmamış bir kayıt incelenecekse iş teknik rapor kapsamına geçer.
Rapor tebliğ edildiğinde süre nasıl işler?
Hukuk yargılamasında taraflar, raporun tebliğinden itibaren iki hafta içinde eksikliklerin tamamlanmasını, açıklama yapılmasını veya yeni bilirkişi atanmasını isteyebilir; talep özel yahut teknik bir çalışmayı gerektiriyorsa, süre içinde başvurulursa bir defaya mahsus en çok iki haftalık ek süre verilebilir (HMK m.281). Uzman görüşü alınacak olması ise tek başına ek süre gerekçesi değildir (HMK m.293/1). Ceza yargılamasında rapordan sonra taraflara süre verilir (CMK m.67/5). Sürenin hesabı ve talebin biçimi avukatınızın işidir; biz teknik takvimi bu süreye göre kurarız:
- Tebliğ günü raporu ekleriyle, görevlendirme kararını ve tebliğ tarihini gönderin. Kişisel veri içeren ham materyali ilk e-postaya eklemeyin.
- Ön değerlendirmede hangi tespitlerin teknik olarak sınanabileceğini ve bunun için hangi ham verinin gerektiğini yazarız.
- Ham veri (HTS dökümü, imaj kopyası, log dosyaları, operatör yazısı, el koyma ve imaj tutanakları) güvenli bir yolla gelir; teslimde hash değeri alınır.
- İnceleme ek süre gerektirecekse bunu erken söyleriz; talebe avukatınız karar verir.