Den von der beschrieben Angriff im Hotel meint er nicht. Das was du beschreibst ist einfach jemand, der nen Hotspot mit nem ähnlichen Namen aufmacht. Ein ARP Spoofing ist nochmal was anderes. Aber seis drum: Dein Hauptargument ist, dass du nicht willst, dass jemand weiß wann du welche Seiten aufrufst: Das ist absolut legitim - aber mit einem VPN veränderst du lediglich die Stelle, die die Info bekommt: Entweder dein Internetprovider (Telekom, o2, Vodafone, was auch immer) oder aber eben der VPN Anbieter. Ich will es dir nicht ausreden - sondern lediglich nochmal hervorheben, dass es auch weiterhin nicht vollständig anonym ist und schlussendlich ne Vertrauenssache.