E-İmza Özel Anahtarını Üçüncü Kişi Elde Edebilir mi? 5070 m.6/c | 2026

5070 m.6/c hangi güvenlik şartını getirir?

5070 sayılı Elektronik İmza Kanunu m.6/c, güvenli elektronik imza oluşturma araçlarında bulunan imza oluşturma verilerinin üçüncü kişilerce elde edilememesini, kullanılamamasını ve elektronik imzanın sahteciliğe karşı korunmasını zorunlu kılar. Bu bent, m.6/a’daki benzersizlik ve m.6/b’deki araç dışına çıkarılamama şartından farklıdır. Anahtarın benzersiz ve cihaz içinde kalması yeterli görülmez; üçüncü kişinin yetkisiz biçimde imza üretmesini engelleyen teknik ve organizasyonel koruma da gerekir.

Bu başlığın hukuki sonucu, teknik imza doğrulaması ile fiilî kullanımın ayrı sorular olduğunu gösterir. Sertifika doğrulaması imzanın hangi sertifikayla üretildiğini belirler; fakat cihazın başka birinin eline geçtiği iddiası varsa erişim ve olay kayıtları ayrıca incelenir. Şirket adına işlemde temsil yetkisi de bu teknik tartışmadan bağımsızdır. Bu ayrımlar korunmadığında “imza geçerli görünüyor” sonucundan, imza sahibinin her durumda işlemi bizzat yaptığı şeklinde aşırı geniş bir sonuç çıkarılabilir.

Üçüncü kişi kimdir ve hangi erişimler risklidir?

İmza sahibi dışındaki çalışan, yönetici, aile üyesi, dış hizmet sağlayıcısı veya saldırgan somut olaya göre üçüncü kişi konumunda olabilir. Tokenın fiziksel olarak başkasına verilmesi, PIN’in ortak kullanılması, uzaktan masaüstüyle imza cihazının kullandırılması veya zararlı yazılım aracılığıyla imza işleminin tetiklenmesi farklı teknik biçimlerdir. Hukuki incelemede ortak soru şudur: imza sahibi dışındaki kişi imza oluşturma verisini elde etmiş veya imza üretme yeteneğini fiilen kullanmış mıdır?

Uygulamada “Üçüncü kişi kimdir ve hangi erişimler risklidir?” bakımından olay anında üretilen kayıtlar önceliklidir. Cihaz zimmeti, kullanıcı oturumları, uzaktan erişim logları, sertifika seri numarası, imza zamanı, ESHS bildirimi ve belge iletim kayıtları birbirini doğrulayan bir zaman çizelgesine dönüştürülmelidir. Sonradan hazırlanmış açıklamalar bu teknik kayıtların yerine geçmez. Özellikle yetkisiz kullanım şüphesinde olay tarihinden sonra cihaz üzerinde yapılan işlemler delil bütünlüğünü etkilememelidir.

Sahteciliğe karşı koruma neyi ifade eder?

Madde 6/c yalnız gizli anahtarın ele geçirilmesini değil, elektronik imzanın sahteciliğe karşı korunmasını da hedefler. Güvenli araç, üçüncü kişinin imza sahibinin bilgisi ve kontrolü dışında geçerli imza üretmesini zorlaştıran teknik yapıda olmalıdır. Ancak hiçbir sistem yalnız donanıma dayanmaz; kullanıcı PIN’i paylaşır veya imza ekranını kontrol etmeden her isteği onaylarsa teknik korumaların etkisi azalabilir. Bu nedenle sahteciliğe karşı koruma, cihaz güvenliği ile kullanıcı davranışının birlikte değerlendirilmesini gerektirir.

Risk yönetimi yönünden “Sahteciliğe karşı koruma neyi ifade eder?” yalnız bilgi işlem politikasına bırakılmamalıdır. Hukuk, bilgi güvenliği ve insan kaynakları birlikte çalışmalı; yetkili değişikliği, işten ayrılma, kayıp cihaz ve şüpheli imza senaryoları için önceden yazılı prosedür bulunmalıdır. Böylece üçüncü kişi erişimi ortaya çıktığında kimin sertifikayı iptal ettireceği, hangi kayıtların korunacağı ve hangi işlemlerin durdurulacağı belirsiz kalmaz.

Ortak PIN ve ortak token kullanımı neden sakıncalıdır?

Şirketlerde ‘yetkilinin tokenı muhasebede dursun, işlemleri ekip yapsın’ yaklaşımı güvenli elektronik imzanın kişisel niteliğiyle bağdaşmaz. Ortak PIN veya token kullanımı, üçüncü kişinin imza oluşturma aracını fiilen kullanabilmesine imkân verir. Bu durum m.4/b’deki yalnız imza sahibinin tasarrufu şartını da etkiler. Bir uyuşmazlıkta imza sahibinin cihazı isteyerek paylaşması ile cihazın rızası dışında ele geçirilmesi aynı olgu değildir; ancak her iki durumda da teknik imza ile gerçek irade arasındaki bağ ayrıca incelenir.

Somut uyuşmazlıkta “Ortak PIN ve ortak token kullanımı neden sakıncalıdır?” değerlendirilirken kullanılan ürünün ticari adı değil, 5070 sayılı Kanunun aradığı güvenli imza şartlarının gerçekleşip gerçekleşmediği esas alınır. Token, akıllı kart veya uzaktan imza hizmeti farklı teknik mimarilere sahip olabilir. Ancak üçüncü kişinin imza sahibinden bağımsız biçimde imza üretememesi ve imza oluşturma verisinin güvenli kalması ortak hukuki ölçüttür.

Uzaktan destek veren personel e-imza atabilir mi?

Bilgi işlem personelinin sürücü kurması veya teknik destek vermesi ile imza sahibinin yerine elektronik imza oluşturması birbirinden ayrılmalıdır. Destek personeli imza cihazını kurabilir; fakat imza işlemini başlatma ve onaylama yetkisi imza sahibinde kalmalıdır. Uzak masaüstü oturumunda imza sahibinin nihai belgeyi görmediği veya PIN’i destek personeline verdiği bir süreç, kişisel kontrol ve üçüncü kişi kullanımı bakımından ciddi risk yaratır. Kurumsal prosedür bu sınırı açıkça belirlemelidir.

Bu başlığın hukuki sonucu, teknik imza doğrulaması ile fiilî kullanımın ayrı sorular olduğunu gösterir. Sertifika doğrulaması imzanın hangi sertifikayla üretildiğini belirler; fakat cihazın başka birinin eline geçtiği iddiası varsa erişim ve olay kayıtları ayrıca incelenir. Şirket adına işlemde temsil yetkisi de bu teknik tartışmadan bağımsızdır. Bu ayrımlar korunmadığında “imza geçerli görünüyor” sonucundan, imza sahibinin her durumda işlemi bizzat yaptığı şeklinde aşırı geniş bir sonuç çıkarılabilir.

Zararlı yazılım veya oltalama halinde hangi kayıtlar önemlidir?

Yetkisiz kullanım iddiası siber saldırıya dayanıyorsa özgün elektronik dosya yanında bilgisayar ve ağ logları, kötü amaçlı yazılım bulguları, oturum kayıtları, imza isteminin hangi uygulamadan geldiği, olay zamanı ve sertifika iptal bildirimi önem kazanır. Yalnız ‘bilgisayarım hacklendi’ iddiası teknik inceleme yapılmadan kesin sonuç doğurmaz. Cihazın güvenlik mimarisi, kullanıcının onay mekanizması ve saldırının gerçekten imza oluşturma işlemine ulaşıp ulaşmadığı belirlenmelidir.

Uygulamada “Zararlı yazılım veya oltalama halinde hangi kayıtlar önemlidir?” bakımından olay anında üretilen kayıtlar önceliklidir. Cihaz zimmeti, kullanıcı oturumları, uzaktan erişim logları, sertifika seri numarası, imza zamanı, ESHS bildirimi ve belge iletim kayıtları birbirini doğrulayan bir zaman çizelgesine dönüştürülmelidir. Sonradan hazırlanmış açıklamalar bu teknik kayıtların yerine geçmez. Özellikle yetkisiz kullanım şüphesinde olay tarihinden sonra cihaz üzerinde yapılan işlemler delil bütünlüğünü etkilememelidir.

Yetkisiz kullanım şüphesinde sertifika neden derhal iptal edilmelidir?

İmza oluşturma aracının veya erişim bilgilerinin üçüncü kişi tarafından kullanılabileceği şüphesi doğduğunda ESHS’ye gecikmeden bildirim yapılması gerekir. 5070 m.11 sertifika sahibinin talebi üzerine nitelikli elektronik sertifikanın derhal iptalini öngörür ve geçmişe dönük iptale izin vermez. Bu nedenle şüphe tarihi ile iptal tarihi arasındaki dönem özel önem taşır. O dönemde oluşturulan belgeler tek tek tespit edilip teknik ve hukuki incelemeye alınmalıdır.

Risk yönetimi yönünden “Yetkisiz kullanım şüphesinde sertifika neden derhal iptal edilmelidir?” yalnız bilgi işlem politikasına bırakılmamalıdır. Hukuk, bilgi güvenliği ve insan kaynakları birlikte çalışmalı; yetkili değişikliği, işten ayrılma, kayıp cihaz ve şüpheli imza senaryoları için önceden yazılı prosedür bulunmalıdır. Böylece üçüncü kişi erişimi ortaya çıktığında kimin sertifikayı iptal ettireceği, hangi kayıtların korunacağı ve hangi işlemlerin durdurulacağı belirsiz kalmaz.

5070 m.16 ile m.6/c arasındaki bağlantı nedir?

Madde 6/c güvenli imza oluşturma aracının üçüncü kişilerin elde etme ve kullanımına karşı korunmasını teknik şart olarak düzenler. Madde 16 ise ilgili kişinin rızası dışında imza oluşturma verisini veya aracını elde etme, verme, kopyalama, yeniden oluşturma ve izinsiz elde edilen araçlarla elektronik imza üretme fiillerine ceza yaptırımı bağlar. Böylece aynı risk hem güvenli aracın tasarım şartı hem de yetkisiz fiilin ceza hukuku sonucu olarak iki farklı düzeyde korunur.

Somut uyuşmazlıkta “5070 m.16 ile m.6/c arasındaki bağlantı nedir?” değerlendirilirken kullanılan ürünün ticari adı değil, 5070 sayılı Kanunun aradığı güvenli imza şartlarının gerçekleşip gerçekleşmediği esas alınır. Token, akıllı kart veya uzaktan imza hizmeti farklı teknik mimarilere sahip olabilir. Ancak üçüncü kişinin imza sahibinden bağımsız biçimde imza üretememesi ve imza oluşturma verisinin güvenli kalması ortak hukuki ölçüttür.

Fiziksel erişim, uzaktan erişim ve zararlı yazılım nasıl ayrılır?

Fiziksel erişimde üçüncü kişi tokenı veya akıllı kartı fiilen ele geçirir; uzaktan erişimde cihaz imza sahibinin bilgisayarında kalabilir ancak başka kişi oturumu yönetebilir; zararlı yazılım senaryosunda ise kullanıcı cihazı elinde tutarken kötü amaçlı yazılım imza isteğini manipüle edebilir. Bu üç durumda delil kaynakları farklıdır. Fiziksel erişimde zimmet ve kamera/erişim kayıtları, uzaktan erişimde oturum logları, zararlı yazılım iddiasında adli bilişim bulguları öne çıkar. Hukuki olarak ise ortak eksen, üçüncü kişinin imza sahibinden bağımsız biçimde imza üretme yeteneğine ulaşıp ulaşmadığıdır.

Bu başlığın hukuki sonucu, teknik imza doğrulaması ile fiilî kullanımın ayrı sorular olduğunu gösterir. Sertifika doğrulaması imzanın hangi sertifikayla üretildiğini belirler; fakat cihazın başka birinin eline geçtiği iddiası varsa erişim ve olay kayıtları ayrıca incelenir. Şirket adına işlemde temsil yetkisi de bu teknik tartışmadan bağımsızdır. Bu ayrımlar korunmadığında “imza geçerli görünüyor” sonucundan, imza sahibinin her durumda işlemi bizzat yaptığı şeklinde aşırı geniş bir sonuç çıkarılabilir.

Şirketler için üçüncü kişi erişimini önleme kuralları nelerdir?

Her e-imza aracı belirli kullanıcıya zimmetlenmeli, PIN paylaşımı yasaklanmalı, imza yetkilisinin bilgisayarına uzaktan erişim sınırlandırılmalı ve işlem hazırlayan personel ile imzalayan kişi ayrılmalıdır. İmza uygulaması nihai dosyayı kullanıcıya göstermeli; kullanıcı hangi belgeyi imzaladığını görmeden otomatik imza süreci çalışmamalıdır. İşten ayrılan veya yetkisi sona eren kişinin cihazı yeni kullanıcıya devredilmemeli, yeni yetkili için ayrı sertifika süreci yürütülmelidir.

Uygulamada “Şirketler için üçüncü kişi erişimini önleme kuralları nelerdir?” bakımından olay anında üretilen kayıtlar önceliklidir. Cihaz zimmeti, kullanıcı oturumları, uzaktan erişim logları, sertifika seri numarası, imza zamanı, ESHS bildirimi ve belge iletim kayıtları birbirini doğrulayan bir zaman çizelgesine dönüştürülmelidir. Sonradan hazırlanmış açıklamalar bu teknik kayıtların yerine geçmez. Özellikle yetkisiz kullanım şüphesinde olay tarihinden sonra cihaz üzerinde yapılan işlemler delil bütünlüğünü etkilememelidir.

Mahkemede üçüncü kişi kullanımı nasıl ispatlanır?

Teknik doğrulamada sertifika sahibinin kimliği görülebilir; ancak bu sonuç cihazı fiilen kimin kullandığını her zaman tek başına açıklamaz. Yetkisiz kullanım iddiasında cihazın fiziksel erişimi, PIN paylaşımı, sistem logları, uzaktan bağlantılar, mesaj ve e-postalar, işlem sırasındaki kullanıcı hareketleri ve sertifika iptal kayıtları birlikte değerlendirilir. Özgün elektronik dosya korunmalı; yalnız çıktı üzerinden üçüncü kişi kullanımına dair teknik sonuca gidilmemelidir.

Risk yönetimi yönünden “Mahkemede üçüncü kişi kullanımı nasıl ispatlanır?” yalnız bilgi işlem politikasına bırakılmamalıdır. Hukuk, bilgi güvenliği ve insan kaynakları birlikte çalışmalı; yetkili değişikliği, işten ayrılma, kayıp cihaz ve şüpheli imza senaryoları için önceden yazılı prosedür bulunmalıdır. Böylece üçüncü kişi erişimi ortaya çıktığında kimin sertifikayı iptal ettireceği, hangi kayıtların korunacağı ve hangi işlemlerin durdurulacağı belirsiz kalmaz.

Türkiye geneli ve Mersin uygulamasında inceleme sırası

5070 sayılı Kanunun güvenli elektronik imza şartları Türkiye genelinde aynıdır. Mersin’de ortaya çıkan bir yetkisiz kullanım iddiasında da inceleme özgün dosya ve sertifika doğrulamasıyla başlar. Ardından imza aracının olay anında kimde olduğu, PIN veya erişim bilgisinin paylaşılıp paylaşılmadığı, uzaktan bağlantı bulunup bulunmadığı ve sertifika sahibinin ne zaman iptal talep ettiği belirlenir. Şirket adına imza atılmışsa teknik geçerlilikten ayrı olarak temsil ve ilzam yetkisi kontrol edilir.

Dosya hazırlığında olay zaman çizelgesi kurulmalıdır: şüpheli imzanın oluşturulduğu an, cihazın kayıp veya erişim ihlali tarihi, ESHS’ye yapılan bildirim, sertifikanın kesin iptal zamanı ve karşı tarafla yapılan yazışmalar aynı kronolojide gösterilir. Böylece m.6/c’deki teknik koruma ihlali, m.16’daki olası izinsiz kullanım ve özel hukuk sonuçları birbirine karıştırılmadan incelenebilir. Bu yöntem soyut “e-imzam çalındı” iddiasından daha denetlenebilir ve kanuna dayalı değerlendirme sağlar.

Uygulama kontrol listesi

1. Özgün e-imzalı dosyayı değişmeden saklayın.
2. Sertifika sahibini, geçerlilik ve iptal durumunu doğrulayın.
3. Token/PIN erişimini ve uzaktan bağlantı loglarını koruyun.
4. Yetkisiz kullanım şüphesinde ESHS’ye derhal iptal başvurusu yapın.
5. Şirket işleminde temsil yetkisini ayrıca kontrol edin.
6. Olay zaman çizelgesini imza ve iptal kayıtlarıyla oluşturun.

Resmî kaynaklar ve site içi bağlantılar

5070 sayılı Elektronik İmza Kanunu ve BTK Elektronik İmza Mevzuatı resmî kaynaklardır. Ayrıca 5070 m.4/b rehberi, 5070 m.6/b rehberi, sertifika iptali rehberi ve HMK 199 elektronik delil rehberi incelenebilir.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →