Angriffe auf OWA - Nutzerkonten schützen, Sperrung verhindern

Hallo,

vielleicht hat hier jemand eine Idee; folgendes Problem:
Wir haben einen OnPrem Exchange 2019 laufen, OWA ist aktiviert. Seit kurzem wird im Sekundentakt versucht sich einzuloggen (mit zum Teil alten, und deaktivierten Konten). Ungünstig ist jetzt aber, dass eben auch Konten von aktiven Mitarbeitern betroffen sind. Da wir recht starke Passwortrichtlinien haben ist meine Angst, dass wir tatsächlich gehackt werden eher gering. Was nur sehr ärgerlich ist, dass diese Konten dann aufgrund der Anmelderichtlinien gesperrt werden und die betroffenen Mitarbeiter sich nicht mehr an der Domäne (Server 2019, kein Azure) anmelden können.
Das automatische Entsperren erfolgt nach 2 Stunden, max. Fehlversuche sind 3. Ich könnte jetzt natürlich die Zeit für das automatische Entsperren runtersetzen und die Fehlversuche rauf. Das ist meiner Ansicht nach aber nicht wirklich zweckmäßig. Ich persönlich wäre ja für die Einführung von MFA. Da das aber mit Bordmitteln nicht gegeben ist geht hier der Weg über einen Drittanbieter und die lassen sich das auch ganz gut bezahlen... es wird wohl früher oder später trotzdem darauf hinaus laufen, nur bis dahin wäre eine schnelle und einfache Lösung des Problems wünschenswert.

Folgende Ideen kamen auf:

- Einfache Passwortabfrage auf HTML Basis vor das eigentliche Login-Portal schalten, damit der Angreifer keine direkte Möglichkeit hat, sich mit irgendwelchen Anmeldedaten einzuloggen (hier fehlt allerdings das Know-How ob und in wie weit sich das Portal, abgesehen von CSS, bearbeiten lässt)

- OWA für Mitarbeiter am Standort mit Outlook am PC deaktivieren (hat leider keinen Erfolg gebracht, Konten wurden trotzdem gesperrt)

- Wie oben genannt, MFA einführen (ist aber nichts was auf die Schnelle umgesetzt werden kann)

Bin um jede Anregung dankbar