zum ESET kann ich nichts sagen, aber der Rest stimmt soweit. Das Postfach und dessen Funktion Mails anzunehmen interessiert nicht, ob der AD-Benutzer deaktiviert ist oder nicht, es muss der Benutzer nur existieren. Das deaktivieren im AD verhindert nur, dass sich der Benutzer anmelden kann. Dieses Verhalten ist auch so gewollt, da z.Bsp. freigegebene Postfächer per default genau diese Konstellation haben, also aktiviertes Postfach und deaktivierter Benutzer.
Daher muss man das Postfach im Exchange separat deaktivieren. Achtung Falle: Nicht das Postfach löschen, das löscht auch automatisch den User im AD. Außerdem werden die Mails des deaktivierten Postfachs nach 30 Tagen gelöscht. Solange das noch nicht passiert ist, kann man das Postfach inkl. Inhalt jederzeit wieder aktivieren und einem User zuordnen.