İnternet teknolojilerinin, bulut bilişim altyapılarının, merkeziyetsiz finans ağlarının ve yapay zeka sistemlerinin gündelik yaşamın yanı sıra ticari faaliyetlerin merkezine yerleştiği modern dünyada, suçun işleniş biçimleri de kabuk değiştirmiştir. Klasik ceza hukuku dogmatiğinde yer alan suç tipleri, dijital mecraların sunduğu hız, anonimlik ve sınır aşan nitelik karşısında yetersiz kalmış; bu durum kanun koyucuyu bilişim sistemlerine özgü yeni normlar ihdas etmeye zorlamıştır.
Türk ceza hukuku sistematiğinde 5237 sayılı Türk Ceza Kanunu’nun (TCK) İkinci Kitap, Üçüncü Kısım, Onuncu Bölümü altında "Bilişim Alanında Suçlar" başlığıyla düzenlenen bu fiiller, sadece bireylerin mal varlığı ve özel hayatını değil, toplumsal düzenin ve kamu güvenliğinin temelini oluşturan bilişim sistemlerinin bütünlüğünü, erişilebilirliğini ve gizliliğini korumaktadır.
Bilişim suçları, doğası gereği multidisipliner bir karaktere sahiptir. Maddi ceza hukuku kurallarının yanı sıra, siber güvenlik protokolleri, ağ mimarileri, adli bilişim inceleme standartları ve uluslararası hukuk normları (özellikle Budapeşte Siber Suçlar Sözleşmesi) bu alanın sınırlarını çizmektedir. Bu makalede, TCK kapsamında düzenlenen bilişim suçları, unsurları, nitelikli halleri, dijital delillerin toplanmasında yaşanan usuli sorunlar ve ceza yargılamasındaki savunma stratejileri, en güncel Yargıtay içtihatları ve adli bilişim pratikleri ışığında derinlemesine incelenecektir.
Bilişim suçlarının hukuki zeminini ve uygulama alanını doğru tayin edebilmek için öncelikle "bilişim sistemi" kavramının yasal ve teknik sınırlarının çizilmesi gerekmektedir. Türk Ceza Kanunu gerekçesinde bilişim sistemi;
"Verileri otomatik işleme tabi tutan veya verilerin nakline yarayan sistemlerdir."
şeklinde tanımlanmıştır. Teknik anlamda ise veri girişi yapılabilen, bu verileri önceden tanımlanmış belirli mantıksal ve aritmetik algoritmalar çerçevesinde işleyebilen, saklayabilen, çıktı verebilen ve diğer sistemlerle iletişim kurabilen her türlü elektronik cihaz ve ağ yapısı bilişim sistemi olarak kabul edilir.
2026 yılı yargı pratiği ve yerleşik Yargıtay kararları doğrultusunda, bilişim sistemi kavramının kapsamına giren yapılar şu şekilde tasnif edilmektedir:
Bir sistemin TCK anlamında koruma altında olabilmesi için büyüklüğü veya karmaşıklığı önem arz etmez; önemli olan unsur, veriyi işleme, depolama veya iletme kabiliyetine haiz olmasıdır.
5237 sayılı TCK’nın 243. maddesinde düzenlenen "Bilişim sistemine girme suçu", bilişim suçlarının en temel ve yalın halini oluşturur. Doktrinde "siber alana tecavüz" olarak da adlandırılan bu suç, bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak girmeyi veya orada kalmaya devam etmeyi müeyyideye bağlamaktadır.
Suçun maddi unsuru iki seçimlik hareketten oluşur:
Bu suç ancak doğrudan kastla işlenebilir; taksirle işlenmesi mümkün değildir. Failin, eriştiği yapının bir başkasına ait bilişim sistemi olduğunu bilmesi ve bu sisteme girme yönünde irade ortaya koyması gerekir. Sistem yöneticisinin açık veya zımni rızasının bulunması, hukuka aykırılık unsurunu ortadan kaldırır.
TCK 243/2 uyarınca, suçun fona veya bedeli karşılığı yararlanılabilen bir sistem hakkında işlenmesi halinde verilecek ceza yarı oranına kadar artırılır. Örneğin, ücretli abonelikle çalışan bir veri tabanına veya paralı bir yazılım paneline yetkisiz erişim bu kapsamda değerlendirilir.
Maddenin üçüncü fıkrası, neticesi sebebiyle ağırlaşan bir suç tanımı barındırır. Eğer failin sisteme yetkisiz girişi nedeniyle sistem içindeki veriler yok olur veya değişirse, bu zararlı neticeden ötürü daha ağır bir cezaya hükmedilir. Buradaki kritik husus, failin verileri yok etmek için özel bir çaba sarf etmemiş olması, verilerin sisteme giriş eyleminin bir yan etkisi olarak (örneğin sisteme taşan zararlı bir kod veya hatalı komut nedeniyle) bozulmuş olmasıdır. Fail verileri kasten yok etmişse, eylem TCK 244 kapsamında değerlendirilecektir.
TCK 244. maddesi, bilişim sistemlerinin işlevselliğine ve bu sistemler bünyesinde barındırılan verilerin bütünlüğüne yönelik en ağır siber saldırı türlerini yaptırıma bağlar. Madde, korunan hukuki değer bakımından hem mülkiyet/zilyetlik hakkını hem de bilişim güvenliğini esas alır.
Bu fıkrada bilişim sisteminin donanımsal veya yazılımsal olarak çalışamaz hale getirilmesi cezalandırılır:
Eğer TCK 244/1 veya 244/2'de belirtilen fiiller; bir kamu kurum ve kuruluşuna (Örn: UYAP, e-Devlet, Bakanlık sunucuları) veya bir banka yahut kredi kurumuna ait bilişim sistemi ve verileri üzerinde işlenirse, kanun koyucu cezanın yarı oranında artırılmasını öngörmüştür. Siber terörizm ve organize bilişim suçlarıyla mücadelede bu fıkra hayati önem taşır.
Ekonomik faaliyetlerin neredeyse tamamen dijitalleştiği finansal ekosistemde, banka ve kredi kartlarına yönelik hukuka aykırı eylemler TCK 245. maddesinde müstakil bir suç tipi olarak ele alınmıştır. Bu suç, bilişim hukuku ile ekonomik suçlar arasındaki geçiş koridorudur.
Suçun oluşması için; başkasına ait bir banka veya kredi kartının (fiziki olarak veya kart bilgileri şeklinde) her ne suretle olursa olsun ele geçirilmesi veya elde tutulması ve kart sahibinin veya rıza göstermeye yetkili kişinin rızası olmaksızın kullanılması yahut kullandırılması gerekir. Failin bu eylem neticesinde kendisine veya bir başkasına menfaat temin etmesi suçun tamamlanması için zorunlu bir neticedir.
TCK 245/2 (Hazırlık ve Ticaret Aşaması): Sahte banka veya kredi kartı üretmek, nakletmek, satmak, satın almak veya kabul etmek eylemlerini yaptırıma bağlar. Burada kartın fiilen kullanılıp menfaat elde edilmiş olması aranmaz; sahte kartın varlığı ve üzerinde tasarrufta bulunulması suçun oluşumu için kafidir.
TCK 245/3 (Kullanım Aşaması): Sahte oluşturulan veya üzerinde sahtecilik yapılan bir kartı kullanarak kendisiniz veya başkasına yarar sağlamaktır.
TCK 245/4 maddesi, aile bireyleri arasında işlenen kart kötüye kullanma suçlarında şahsi cezasızlık sebebi öngörmüştür. Suçun; haklarında ayrılık kararı verilmemiş eşlerden birinin, üstsoy veya altsoyunun, evlatlığın veya aynı konutta beraber yaşayan kardeşlerin zararına işlenmesi halinde, ilgili akraba hakkında cezaya hükmolunmaz.
Bilişim suçlarında nitelendirme yapılırken uygulamada en çok karmaşa yaşanan alan, eylemin TCK 244 (Sistemi bozma/veri değiştirme), TCK 245 (Kartın kötüye kullanılması) ve TCK 142/2-e (Bilişim sistemi vasıtasıyla nitelikli hırsızlık) maddelerinden hangisinin kapsamına gireceğinin tayinidir. Kanun maddelerinin doğru tespiti, ceza miktarı ve infaz rejimleri açısından radikal farklar yaratır.
Suç Tipi (TCK Maddesi) | Korunan Hukuki Değer | Tipik Eylem / Yöntem | Menfaat Unsurunun Rolü |
|---|---|---|---|
| TCK 244/2 (Veri Değiştirme/Ekleme) | Bilişim Sisteminin ve Verinin Bütünlüğü | Sistemdeki verileri silmek, şifrelemek, manipüle etmek. | Menfaat şart değildir; sisteme zarar verilmesi yeterlidir. |
| TCK 245/1 (Kartın Kötüye Kullanılması) | Finansal Güven ve Mülkiyet | Gerçek veya sanal kart bilgilerini kullanarak pos cihazından, ATM'den veya e-ticaret sitesinden harcama yapmak. | Maddi bir menfaatin fiilen temin edilmiş olması şarttır. |
| TCK 142/2-e (Bilişim Sistemiyle Hırsızlık) | Malvarlığı ve Zilyetlik | Bilişim sistemini bir araç olarak kullanarak (Örn: İnternet bankacılığı şifresini ele geçirip) hesaptaki parayı başka hesaba transfer etmek. | Failin zilyetliğindeki parayı kendi malvarlığına geçirmesi esastır. |
Yargıtay Ceza Genel Kurulu'nun yerleşik içtihatlarına göre; eğer fail, mağdura ait internet bankacılığı şifrelerini oltalama (phishing) yöntemiyle ele geçirip hesaptaki parayı Havale/EFT yoluyla kendi veya bir üçüncü kişinin hesabına geçirmişse, burada TCK 244 veya 245 değil, TCK 142/2-e (Bilişim sistemlerinin kullanılması suretiyle hırsızlık) hükümleri uygulanmalıdır. Çünkü burada bilişim sistemi, mağdurun malvarlığına ulaşmak için bir anahtar (araç) olarak kullanılmıştır. Ancak harcama doğrudan bir kredi kartı numarası ve CVV kodu üzerinden yapılmışsa TCK 245 devreye girecektir.
2026 yılı itibarıyla adli makamların önüne gelen siber suç profilleri büyük bir evrim geçirmiştir. Yapay zeka tabanlı sosyal mühendislik saldırıları, deepfake teknolojisi kullanılarak gerçekleştirilen nitelikli dolandırıcılıklar ve akıllı sözleşme (Smart Contract) istismarları, mevcut ceza kanunu maddelerinin dinamik yorumlanmasını zorunlu kılmaktadır.
Kripto varlıkların hukuki niteliği netleşmiş ve bu varlıklar bilişim sisteminde tutulan "veri" statüsünde kabul edilmiştir. Bir kripto para cüzdanının private key (özel anahtar) bilgisinin ele geçirilerek içerisindeki varlıkların başka bir cüzdana transfer edilmesi eylemi, TCK 142/2-e ve TCK 244/2 maddelerinin fikri içtimai çerçevesinde cezalandırılmaktadır.
Kamuya açık veya üyelik gerektiren sistemlerdeki verilerin, bot yazılımlar vasıtasıyla sistem mimarisini felç edecek hızda ve sistematik olarak çekilmesi, eğer sistemin işleyişinde bir yavaşlamaya (engellemeye) sebep oluyorsa TCK 244/1; yetkilendirme sınırları aşılarak yapılıyorsa TCK 243 bağlamında ceza soruşturmalarına konu olmaktadır.
Bilişim ceza yargılamasının kaderini belirleyen yegane unsur dijital delillerdir. Dijital deliller; kolayca değiştirilebilen, silinebilen, manipülasyona açık ve soyut nitelikteki yapılardır. Bu nedenle, bir dijital delilin mahkeme huzurunda hükme esas alınabilmesi için "zincirleme güvenliğinin" (Chain of Custody) eksiksiz sağlanmış olması yasal bir zorunluluktur.
5271 sayılı Ceza Muhakemesi Kanunu'nun (CMK) 134. maddesi, bilgisayar programlarında ve kütüklerinde arama, kopyalama ve elkoyma işlemlerini sıkı şekil şartlarına bağlamıştır:
Soruşturma evresinde kolluk birimlerinin (Siber Suçlarla Mücadele Şube Müdürlükleri) iş yoğunluğu gerekçesiyle arama mahallinde imaj almadığı, hash değerini tutanağa yazmadığı ve bilgisayarların fiziki olarak el koyularak aylarca depolarda bekletildiği gözlemlenmektedir. CMK 134/2'ye aykırı olarak gerçekleştirilen bu tür işlemler, anayasal mülkiyet ve adil yargılanma hakkını ihlal ettiği gibi, elde edilen verilerin de "zehirli ağacın meyvesi" düsturu gereği hukuka aykırı delil sayılmasına yol açar.
Bilişim suçlarının ihbar veya şikayet yoluyla savcılığa intikal etmesiyle birlikte teknik bir takip süreci başlar. Bu süreçte maddi gerçeğe ulaşılması, tamamen dijital izlerin (log kayıtlarının) doğru analiz edilmesine bağlıdır.
Sanal dünyada her cihazın bir adresi mevcuttur. Suçun işlendiği tespiti yapılan sunucuya (Örn: Mağdurun hacklenen e-ticaret paneli) bağlanan failin IP (Internet Protocol) adresi ve bağlantı zamanı (Log kaydı) yer sağlayıcıdan istenir. Ancak dinamik IP mimarisinde sadece IP adresi yeterli olmayıp, Port Numarası (Kaynak Portu) bilgisinin de tespiti, gerçek failin belirlenmesi adına zorunludur. Port bilgisi eksik olan BTK (Bilgi Teknolojileri ve İletişim Kurumu) verileri, hatalı kişilerin şüpheli konumuna gelmesine sebebiyet verebilmektedir.
Yer sağlayıcılar, içerik sağlayıcılar ve toplu internet kullanım sağlayıcıları (oteller, kafeler vb.), 5651 sayılı Kanun uyarınca trafik verilerini (Log) belirli sürelerle saklamak ve doğruluğunu kriptografik olarak güvence altına almakla yükümlüdür. Bir sistemde log kayıtlarının tutulmamış olması veya tahrif edilmesi, şüpheliden ziyade sistem yöneticilerinin hukuki ve cezai sorumluluğunu doğurur.
Bilişim suçlarında sanık müdafi veya şüpheli vekili olarak yürütülecek savunma stratejileri, klasik ceza davalarından tamamen farklı olarak teknik argümanlar üzerine inşa edilmelidir. Soyut beyanlar yerine adli bilişim prensipleriyle desteklenmiş teknik dışlama kriterleri mahkemeye sunulmalıdır.
Hukuki savunmanın sacayaklarından en önemlisi, yerel mahkemelerin ve Yargıtay’ın siber suçlar konusundaki içtihat değişikliklerini anlık olarak takip etmektir. Bilişim hukukunun teknik doğası gereği, yüksek mahkeme kararları kanundaki soyut ifadeleri somutlaştırmakta ve adli bilişim standartlarını belirlemektedir.
Yukarıda özetlenen ana kararların ötesinde, duruşmalarda savunma veya iddia makamı olarak dosyaya sunulabilecek, "emsal niteliğindeki" detaylı Yargıtay kararları ve hukuki analizleri aşağıda maddeler halinde tasnif edilmiştir:
⚖️ Uygulama İpucu
Bilişim davalarında dilekçelere sadece Yargıtay kararının esas ve karar numarasını yazmak yeterli değildir. Mahkeme heyetine, kararda geçen "teknik gerekçenin" (örneğin IP çakışması, log tutarsızlığı veya MAC adresi uyuşmazlığı) somut olayla nasıl birebir örtüştüğünü adli bilişim diliyle açıklamak gerekir.
Bir siber saldırı veya bilişim suçu vakası gerçekleştiğinde, ilk 24 saat içinde atılacak adımlar delillerin karartılmaması ve failin yakalanması adına kritiktir.
Türk Ceza Kanunu’nda düzenlenen bilişim suçlarında görevli mahkeme, suç tiplerinin çoğunluğu için Asliye Ceza Mahkemeleridir (TCK 243, TCK 244, TCK 245). Ancak eylemin "Bilişim sistemlerinin araç olarak kullanılması suretiyle nitelikli dolandırıcılık" (TCK 158/1-f) kapsamında kalması durumunda, yargılama yapma yetkisi Ağır Ceza Mahkemelerine aittir. Zamanaşımı süreleri ise suçun niteliğine göre 8 ila 15 yıl arasında değişkenlik göstermektedir.
Bilişim yargılamaları, doğası gereği hakimlerin ve savcıların teknik uzmanlık alanının dışında kalabilmektedir. Bu durum, dosyaların sıklıkla bilirkişi incelemelerine gitmesine ve yargılama süreçlerinin uzamasına neden olur. Dolayısıyla, ceza davasının başından itibaren teknik ve hukuki savunmanın bir arada, adli bilişim verilerine dayanarak yürütülmesi, haksız mahkumiyetlerin ve hak kayıplarının önüne geçecek yegane yoldur.
TCK 243-245 maddeleri arasında düzenlenen bilişim suçları; bilişim sistemine hukuka aykırı girme, sistemi engelleme, bozma, verileri yok etme, değiştirme ve banka/kredi kartlarının kötüye kullanılması fiilleridir. Bu suçlarda mahkumiyet kurulabilmesi için CMK 134’e uygun adli imaj ve hash değeri tespiti içeren dijital deliller zorunludur.
Hayır. Yargıtay’ın yerleşik kararları doğrultusunda, IP adresi tek başına kesin mahkumiyet delili olamaz. Şifresi zayıf kablosuz ağlara üçüncü kişilerin sızması veya cihazlara bulaşan trojan (zararlı yazılım) vasıtasıyla bilgisayarın "zombi" olarak kullanılması mümkündür. Teknik adli bilişim incelemesiyle bu durum kanıtlanabilir.
Sosyal medya ve mesajlaşma uygulamalarındaki ekran görüntüleri (screenshot) kolayca manipüle edilebildiği için tek başına kesin delil sayılmaz. Bu konuşmaların delil olabilmesi için cihazın incelenerek veritabanı (SQLite) üzerinden mesajların orijinal hash değerleriyle tespit edilmesi veya yan delillerle desteklenmesi gerekir.
Bu eylem TCK 245/1 maddesinde düzenlenen "Banka veya kredi kartlarının kötüye kullanılması" suçunu oluşturur. Fail hakkında 3 yıldan 6 yıla kadar hapis ve adli para cezasına hükmedilir. Mağdurun zararı dava açılmadan önce karşılanırsa etkin pişmanlık hükümleri uyarınca cezada indirim yapılır.
Geçersizdir. Arama mahallinde bilgisayar kütüğünün adli imajı (birebir kopyası) alınmadan ve hash değeri tutanağa bağlanarak şüpheliye teslim edilmeden yapılan elkoyma işlemleri hukuka aykırıdır. Anayasa ve CMK gereği, hukuka aykırı elde edilen deliller hükme esas alınamaz.
Bu eylem, TCK 244/2 maddesinde yer alan "Verileri hukuka aykırı olarak alma/kopyalama" suçunu oluşturur. Ayrıca eylemin niteliğine göre Türk Ticaret Kanunu kapsamında haksız rekabet ve ticari sırrın ifşası suçları ile kişisel verilerin hukuka aykırı olarak ele geçirilmesi (TCK 136) suçu da gündeme gelecektir.
Bilişim suçları, ceza hukuku dogmatiği ile ileri düzey siber güvenlik mühendisliğinin kesişim noktasında yer alan, hata kabul etmez yapılardır. Gerek şüpheli/sanık müdafiiliği sürecinde kolluk ve bilirkişi raporlarındaki teknik usulsüzlüklerin (hash uyuşmazlıkları, imaj kirlenmeleri) tespiti, gerekse mağdur vekilliğinde dijital delil zincirinin güvenle savcılığa teslimi, uzmanlık gerektiren titiz bir çalışma mimarisi gerektirir.
Proaktif Hukuk ve Danışmanlık Bürosu, alanında uzmanlaşmış dinamik ceza hukuku kadrosuyla, siber suçlar ve adli bilişim yargılamalarında müvekkillerine nitelikli ve nesnel hukuki danışmanlık sağlamaktadır. Dijital hak mahrumiyetlerinin önlenmesi ve ceza yargılamasında maddi gerçeğin teknik argümanlarla ortaya konulması amacıyla yürüttüğümüz profesyonel hukuki süreçler ve randevu prosedürleri hakkında bilgi almak için ofisimizle iletişime geçebilirsiniz.
