Structurele kernelementen (bijna altijd aanwezig):

* Kopvelden: De meest betrouwbare indicatoren. Zoek deze op in de eerste regels van het document:

* Aan: Ontvanger(s) van de e-mail. Dit kan één adres zijn, maar ook meerdere adressen, gescheiden door komma's.

* Van: Afzender van de e-mail.

* Onderwerp: Een korte beschrijving van het onderwerp van de e-mail.

* Datum: De datum en tijd waarop de e-mail is verzonden.

* E-mailadressen: De aanwezigheid van geldige e-mailadressen ('[email protected]'-indeling) in de 'Aan', 'Van', 'Cc', 'Bcc' of in de hoofdtekst van de tekst is een sterke indicator.

* Berichttekst: De hoofdinhoud van de e-mail, meestal platte tekst of HTML-opmaak.

* Mogelijke voettekst/handtekening: Veel e-mails bevatten een voettekst met de contactgegevens van de afzender, bedrijfsgegevens of een disclaimer.

Gemeenschappelijke aanwijzingen voor opmaak en inhoud:

* "Re:" of "Fwd:" Voorvoegsels in onderwerp: Geeft respectievelijk een antwoord of een doorgestuurde e-mail aan.

* Geciteerde eerdere berichten: Bij het beantwoorden bevatten e-mails vaak het oorspronkelijke bericht, aangegeven door '>'-tekens aan het begin van elke regel of door een gedeelte tussen aanhalingstekens.

* Groeten en afsluitingen: Typische e-mailbegroetingen ("Beste [naam]", "Hallo [naam]") en afsluitingen ("Met vriendelijke groet", "Met vriendelijke groet", "Bedankt") zijn gebruikelijk.

* Algemene e-mailvoorwaarden: Het gebruik van woorden als 'bijlage', 'beantwoorden', 'doorsturen', 'afmelden', 'nieuwsbrief' of verwijzingen naar specifieke e-mailproviders (Gmail, Outlook, Yahoo Mail) kan nuttig zijn.

* MIME-headers (Multipurpose Internet Mail Extensions): In meer technische contexten (bijvoorbeeld het analyseren van de broncode van e-mail) beschrijven MIME-headers (bijvoorbeeld `Content-Type:text/plain; charset=UTF-8`, `Content-Disposition:bijlage; bestandsnaam='report.pdf'`) het inhoudstype van de e-mail en eventuele bijlagen.

* HTML-opmaak: Veel e-mails zijn opgemaakt met HTML, waardoor rijke tekst, afbeeldingen en links mogelijk zijn.

Minder betrouwbaar, maar nog steeds potentiële aanwijzingen:

* Verwijzingen naar tijdgevoeligheid: E-mails bevatten vaak tijdgevoelige informatie, dus er kunnen zinsneden als 'dringend', 'zo snel mogelijk' of 'deadline' verschijnen.

* Oproep tot actie: De e-mail kan de ontvanger vragen actie te ondernemen, zoals een website bezoeken, reageren of een bestand downloaden.

* Specifieke toon: E-mails hebben vaak een relatief informele toon, hoewel dit sterk varieert afhankelijk van de context en de afzender.

* Lange gesprekken: Een reeks e-mails over hetzelfde onderwerp, waarbij elk antwoord de voorgaande berichten bevat.

* Bijlagen: Bestanden die bij de e-mail zijn gevoegd.

* IP-adressen: (In e-mailheaders):een e-mailheader kan oorspronkelijke IP-adressen bevatten

Belangrijke overwegingen:

* Context is belangrijk: De context van het document is cruciaal. Een tekstfragment met een e-mailadres kan afkomstig zijn van een webpagina en niet van een e-mail.

* False positieven: Sommige documenten kunnen e-mailfuncties nabootsen (bijvoorbeeld een marketingbrochure die is ontworpen om op een e-mail te lijken).

* Spoofing: E-mailadressen kunnen worden vervalst, wat betekent dat het 'Van'-adres niet noodzakelijkerwijs de daadwerkelijke afzender is.

* Formaten: E-mails kunnen in verschillende formaten worden opgeslagen (bijvoorbeeld .eml, .msg, .mbox).

Samengevat:

Een document is hoogstwaarschijnlijk een e-mail als het een combinatie bevat van koptekstvelden (Aan, Van, Onderwerp, Datum), geldige e-mailadressen, een berichttekst en mogelijk geciteerde eerdere berichten, en een HTML- of MIME-opmaak heeft. Houd ook rekening met de algemene context en zoek naar andere veelvoorkomende aanwijzingen voor opmaak en inhoud. Houd rekening met het formaat van het document (bijvoorbeeld .eml)